Paswoordmanager

[satsurfer]

22/12 is de clarification.

https://tweakers.net/nieuws/204814/last ... tolen.html

[devilkin]

Verfoeilijk dat ze dit nieuws trouwens gelost hebben net in de periode waar de meeste bedrijven op minimale bezetting draaien.

Alleen al om die reden wens ik ze een hoop rechtszaken toe.

[Tomby]

Abusimbal, ik raad je nog steeds keepas aan. Dan heb je je database op eigen cloud dienst staan. En als je echt veilig, ilt zijn, gebruik je ook een key file op een andere cloud provider. Beiden kunnen gratis zijn en die opsplitsing zorgt dat de files alleen niets waard zijn.

Of nog beter (denk ik) : zet de key-file enkel lokaal. Natuurlijk dan wel zien dat je het copiëren van de key-file naar meerdere devices op een veilige manier doet.

[satsurfer]

en als je 'sharet' met je zus op andere locatie woonachtig? En regelmatig PW wijzigt, zaken toevoegd?

[Tomby]

en als je 'sharet' met je zus op andere locatie woonachtig? En regelmatig PW wijzigt, zaken toevoegd?

Da's natuurlijk al niet zo'n standaard situatie, maar ook nog altijd mogelijk.
* Ik neem aan dat je die zus regelmatig wel eens ziet. Dan kan je op dat moment je key-file bij haar zetten.
* De database aanpassen is geen probleem want dat schrijft gewoon een nieuwe kdb-file weg in the cloud, en zal bij haar dus ook aangepast worden. Aanpassingen kunnen zowel aanpassingen aan de content (nieuwe accounts, gewijzigde paswoorden, enz) zijn, alsook het master paswoord van je database.

[satsurfer]

Sinds overlijden door fietsongeval van mijn vader 4 weken terug, ook een Bitwarden account gemaakt op naam van mijn moeder (kent 0,0 van PC/internet). Makkelijk zodat we beiden kunnen inloggen. Da's het frustrerende...Ik verander dan mss. wachtwoorden regelmatig, en dan zou ik telkens langs moeten gaan. Nu doe ik wanneer ik goesting heb. Als ik zie hoe mijn vader ze bijhield op een schriftje....Denk ik al serieuze progressie.

En wel regelmatig hoofdwachtwoord veranderen. Denk voor een 84 jarige moeder, dat wij gem. veiliger werken

[Abusimbal]

[Belgissschenaap]

Idd goed filmpje en goed kanaal, maar wel enkel doenbaar als je een server thuis hebt draaien of een VPS die in staat is om goed overweg te gaan met LAN naar WAN communicatie

Eigenlijk zou dit een goed minimum zijn voor elk bedrijf

[Borromini]

Bitwarden heeft ook net een beta image gepubliceerd voor een unified setup op Docker. Ga ik zelf ook naar kijken, ziet er heel interessant uit.

[satsurfer]

https://techpulse.be/nieuws/353502/last ... gsexperten

[rossi]

Ik gebruik voor 2FA al jarendag Winauth als primary key repository, omdat die key export toelaat en gewoon op windows draait.
Van daaruit genereer ik dan een qr code om de key in te lezen in een gsm app.

Intussen wordt Winauth al enkele jaren niet meer geupdate, en de enige echte alternatieven die ik kan vinden zijn ofwel puur voor android, ofwel zo'n win10 "app" ipv een gewoon programma dat overal op kan draaien.

Als er iemand een opensource alternatief (of een fork) kent mag je het gerust linken hier.

Ik gebruikte ook WinAuth.
Keepass (met Plugin KeeOTP2) of KeepassXC (native) ondersteunt ook TOTP, dus je kan ze veiliger daar in backup steken/gebruiken.

[rossi]

Sinds overlijden door fietsongeval van mijn vader 4 weken terug, ook een Bitwarden account gemaakt op naam van mijn moeder (kent 0,0 van PC/internet). Makkelijk zodat we beiden kunnen inloggen. Da's het frustrerende...Ik verander dan mss. wachtwoorden regelmatig, en dan zou ik telkens langs moeten gaan. Nu doe ik wanneer ik goesting heb. Als ik zie hoe mijn vader ze bijhield op een schriftje....Denk ik al serieuze progressie.

En wel regelmatig hoofdwachtwoord veranderen. Denk voor een 84 jarige moeder, dat wij gem. veiliger werken

Ik gebruik 2 verschillende werkwijzen (maar wel met Keepass).
Voor persoonlijk gebruik: Syncthing (FOSS die doorheen NAT kan synchen) tussen alle PC's en laptops.
Voor zakelijk gebruik: Wireguard-VPN en dan een SMB-connectie met fileserver.

[Relativity]

Ikzelf heb LastPass nooit gebruikt.
Er zijn er veel betere en gelukkig had ik daarvoor gekozen of ik zat nu ook met de gebakken peren.

Bovendien zijn de meeste accounts van mij beveiligd met 2FA, iets wat bij veel mensen iets is, waarvan ze nog nooit gehoord hebben.

[devastator]

Ikzelf heb LastPass nooit gebruikt.
Er zijn er veel betere en gelukkig had ik daarvoor gekozen of ik zat nu ook met de gebakken peren.

Bovendien zijn de meeste accounts van mij beveiligd met 2FA, iets wat bij veel mensen iets is, waarvan ze nog nooit gehoord hebben.

Die 2FA had in deze voor je WW kluis niet uitgemaakt aangezien die niet gebruikt wordt voor het encrypten van je vault. Om de gestolen vaults te decrypten is enkel een WW nodig, niks met 2FA.

Hopelijk heb je de recovery key dan ook niet in een ww manager zitten, want dan gaat heel je concept aan de haal

[Relativity]

2FA codes; dit gaat over mijn andere accounts en de recovery codes zitten in een fysieke kluis.

[devastator]

Als je natuurlijk echt om security geeft, gebruik je geen 2FA codes maar webauthn

[satsurfer]

Met yubikey?
Niet elke site ondersteunt dat

[cadsite]

Hier wel een lastpass gebruiker...
Ik heb wel een hosting (reseller bij antagonist), maar geen VPS en ook geen thuisserver.

Ik lees hier over bitwarden, maar dat is met mijn setting geen optie als ik het goed versta. Wat wordt er hier dan aangeraden aan een eenvoudige sterveling als ik?

edit, toch eens gaan piepen en zie dat ze ook hosted plans hebben. Die $10/ jaar vind ik zeker een aanvaardbaar bedrag, maar wil wel eens weten welke jullie voorkeur heeft, en vooral waarom.

[UBremoved9108]

Ik gebruikt BitWarden en hosted bij hen, de gratis versie (die is er, zit misschien wat weggestoken op hun site). Voldoet meer dan genoeg voor mij…

[devastator]

Hier wel een lastpass gebruiker...
Ik heb wel een hosting (reseller bij antagonist), maar geen VPS en ook geen thuisserver.

Ik lees hier over bitwarden, maar dat is met mijn setting geen optie als ik het goed versta. Wat wordt er hier dan aangeraden aan een eenvoudige sterveling als ik?

edit, toch eens gaan piepen en zie dat ze ook hosted plans hebben. Die $10/ jaar vind ik zeker een aanvaardbaar bedrag, maar wil wel eens weten welke jullie voorkeur heeft, en vooral waarom.

Vaultwarden op een rpi?

[cadsite]

Ik heb een rpi draaien voor AdGuardHome, maar als ik er iets naast wil zetten zal ik moeten werken met dockers of zoiets vermoed ik. Maar dan ga ik ver buiten mijn kennis moeten werken. Aangezien ik er geen hol van ken lijkt het me niet echt aangewezen om daar iets vrij essentieel op te gaan zetten, nee?

[devilkin]

Tenzij je je 100% confident voelt dat je die vault veilig kan bewaren, backups van kan voorzien, die test, etc... zou ik niet aan zelfhosting beginnen.

Ik heb al een aantal collega's gehoord die vault warden gebruiken gewoon op hun synology, maar backups? Da's toch niet nodig op een nas in raid?
(spoiler: zeer zeker wel)

Sent from my SM-S908B using Tapatalk

[Tazmanian79]

Ik gebruik al jaren LastPass. Betaalde versie, weet geen enkel wachtwoord meer, buiten dan het hoofdwachtwoord en extra laag met 2FA.
Wachtwoorden invullen gaat bijna altijd goed.

Ik heb ook al vaak getwijfeld om het zelf te hosten. Maar gaat dat veiliger zijn?
Als mijn nas gehacked wordt zal de impact wrs groter zijn voor mijzelf dan wanneer LP gehacked wordt.

Helaas is geen enkele optie 100% safe. Voor mij is LP momenteel de minst slechte oplossing.

[devilkin]

Je nas gehacked worden is nog een kleine kans (tenzij je die op 't internet hangt)
Ik denk eerder aan user errors of hardware failures.

[Tazmanian79]

Mijn nas hangt idd aan Internet. Firewall wel goed ingesteld, maar niets is onmogelijk.

[devilkin]

We wijken hard af maar ik zou je aanbevelen van je nas (zeker als het een QNAP is) nooit rechtstreeks op het internet te hangen - maar altijd via een VPN te werken. De VPN services zijn een pak beter hardened dan het OS en de eventuele services die erop bollen.

[Tazmanian79]

Het is een Synology NAS.

Voor bepaalde zaken is het nodig om rechtstreeks aan internet te hangen (home van buitenaf aan te sturen, letsencrypt vernieuwen, ...)
Ja bepaalde zaken kan via VPN, maar dan moet iedere gebruiker telkens de VPN tot stand brengen, gaat gebruiksgemakt serieus tegen.

Tot op heden nog geen inbraakpogingen gehad bij mijn weten. Gebruik ook zoveel mogelijk andere poorten dan deze die standaard zijn.

Soit, idd off topic

[devastator]

Ik draai het gewoon in docker. Scriptje om het te backup'en naar backblaze (met versiebeheer).

Van buitenaf beschikbaar via een CloudFlare tunnel met nodige Google Authentication (maar dan werkt de mobile app niet). 2de manier voor externe toegang via TailScale (dan werkt de app wel).

Geen port forwarding (voor geen enkele service trouwens), dus mijn attack-vector is redelijk klein.

[MaT]

Tot op heden nog geen inbraakpogingen gehad bij mijn weten.

Hier af en toe toch wel pogingen om in te loggen. Al gaat wel wel altijd om simpele brute force of credential stuffing. Als je geen admin/admin gebruik en je het aantal inlogpogingen beperkt in tijd vormt dat ook geen probleem.

[devilkin]

Tot er een zero day of andere vulnerability komt langs waar men je data kan exfiltreren of encrypteren.

Het blijft een behoorlijk risico dat je neemt.

Sent from my SM-S908B using Tapatalk

[devilkin]

Ook met bitwarden blijken toch de nodige problemen te zijn, en zijn er ook wel wat aanraders om korte termijn veilig(er) te blijven.

https://infosec.exchange/users/WPalant/ ... 8309924602
https://infosec.exchange/@WPalant/109738234628007024

In tegenstelling tot LP zijn ze bij bitwarden wel bezig met de security op te trekken.

[Abusimbal]

Vroeg of laat is iedereen aan de beurt. Het gaat erom hoe je ermee om gaat en communiceert.

[cadsite]

Hier:
https://id.nl/zekerheid-en-gemak/veilig ... ers-getest
Halverwege vind je een groot overzicht van verschillende managers. Wel jammer dat het van 2021 is, maar het bevat wel veel info.

[cadsite]

Nondego***%µù$$m!

Ik stond net op het punt om over te gaan naar bitwarden en dan krijg je dit:
https://techpulse.be/nieuws/355305/beve ... t-je-weten

[devilkin]

Zie ook mijn post een paar terug.

Het is trouwens niet zo'n issue als bij lastpass.

Sent from my SM-S908B using Tapatalk

[Belgissschenaap]

Hier:
https://id.nl/zekerheid-en-gemak/veilig ... ers-getest
Halverwege vind je een groot overzicht van verschillende managers. Wel jammer dat het van 2021 is, maar het bevat wel veel info.

https://www.privacyguides.org/passwords/

Hier vind je ook heel goede lijsten. Hoogkwalitatieve, met privacy en security als essentie

[WielerArchieven]

Ook met bitwarden blijken toch de nodige problemen te zijn, en zijn er ook wel wat aanraders om korte termijn veilig(er) te blijven.

https://infosec.exchange/users/WPalant/ ... 8309924602
https://infosec.exchange/@WPalant/109738234628007024

In tegenstelling tot LP zijn ze bij bitwarden wel bezig met de security op te trekken.

Bedankt, had hier nog geen weet van, KDF iterations maar meteen aangepast naar 600.000 op mijn self-hosted Bitwarden. Nu er zit sowieso 2FA op die kluis via een Yubikey.

[devilkin]

2FA is altijd goed, maar het koopt je niets als ze de binary blob zouden te pakken krijgen.

Een sterk wachtwoord is nog altijd het beste.

Sent from my SM-S908B using Tapatalk

[Data technicus]

LastPass heeft een dik datalek gehad en onderzoekers maken zich zorgen


https://androidworld.nl/nieuws/lastpass ... ich-zorgen


Verstuurd vanaf mijn SM-A536B met Tapatalk