Als je ooit op «Wachtwoord opslaan» hebt geklikt in dat venstertje onderaan, dan gebruik je al een wachtwoordmanager. Niemand heeft het je verteld, je hebt er geen gekozen, en je hebt er toch een. Waarschijnlijk met honderd items erin.
Dat verklaart waarom de meestgestelde vraag over wachtwoorden niet is «hoe maak ik een goede», maar «waar staan de mijne». Mensen zoeken geen beveiligingshandboek: ze zoeken een lijst waarvan ze weten dat die bestaat en die ze niet vinden.
De lijst bestaat. Maar waar hij bewaard wordt doet veel minder ertoe dan het antwoord op de volgende vraag, die bijna niemand stelt: wat is er nodig om hem te openen?
Waar ze staan, afhankelijk van wat je gebruikt
In Chrome staan ze in de wachtwoordmanager van Google. Ze leven op twee
plaatsen tegelijk: een kopie op je computer en een in je Google-account,
gesynchroniseerd. Te zien op passwords.google.com of in de instellingen van de
browser zelf.
Op Safari, iPhone en Mac staan ze in de iCloud-sleutelhanger, die sinds kort een eigen app heeft: Wachtwoorden. Zelfde idee: op het apparaat en in je Apple-account.
In Firefox staan ze in twee bestanden in je profiel, en de namen zijn het
kennen waard: logins.json, met de versleutelde gebruikersnamen en wachtwoorden,
en key4.db, met de sleutel die ze ontsleutelt. Mozilla documenteert het precies
zo, met die namen.
In Edge staan ze in je Microsoft-account, volgens hetzelfde schema als Chrome. En op Android is het dezelfde Google-manager die Chrome gebruikt, ook als je hem via de telefooninstellingen opent.
Tot zover het antwoord waarvoor je kwam. Nu het deel dat iets verandert.
Drie modellen, en waarom ze niet gelijkwaardig zijn
Alle drie zeggen ze «je wachtwoorden zijn versleuteld». Dat klopt in alle drie de gevallen en het betekent in geen enkel geval hetzelfde, want wat verschilt is wie de sleutel heeft.
De sleutelhanger van Apple is end-to-end versleuteld. De sleutels die hem openen kent Apple niet; die bestaan alleen op je vertrouwde apparaten. Apple publiceert dat in zijn beveiligingsdocumentatie en voegt er een prettig detail aan toe: het systeem beperkt het aantal pogingen, juist zodat zelfs vanuit de eigen infrastructuur niemand er brute kracht op kan loslaten. Er valt niets aan te zetten. Zo is het al.
Bij Google bestaat die stand wel, maar hij is optioneel. Standaard reizen je wachtwoorden versleuteld en worden ze versleuteld bewaard, maar met sleutels die Google beheert. Je kunt dat veranderen: een synchronisatiewachtwoordzin —of versleuteling op het apparaat, afhankelijk van waar je binnenkomt— legt de sleutels uitsluitend in jouw handen. Het praktische verschil is enorm en de meeste mensen hebben het nooit aangezet, omdat niemand ze heeft verteld dat het bestond. Het heeft een prijs, en die moet volledig genoemd worden: als je die zin vergeet, krijgt niemand je opgeslagen wachtwoorden terug. Dat is precies wat «alleen jij» betekent.
In Firefox beschermt versleuteling je zonder hoofdwachtwoord niet tegen wie je
bestanden heeft. Dit is het ongemakkelijkste deel van dit artikel, en het komt
van Mozilla, niet van ons: zonder ingesteld hoofdwachtwoord kan iedereen die
logins.json en key4.db uit je profiel kopieert je inloggegevens lezen. De twee
bestanden reizen samen: het ene draagt het slot, het andere de sleutel. Een
hoofdwachtwoord instellen is wat die sleutel versleutelt en het paar verbreekt.
Het echte scenario is geen film
Wie zich voorstelt dat zijn wachtwoorden worden gestolen, denkt aan iemand die servers aanvalt. In de praktijk zijn de twee gevallen die echt gebeuren veel huiselijker.
Het eerste: iemand met toegang tot je ontgrendelde computer. Daar is geen kunde voor nodig. De lijst zit twee klikken diep in de browserinstellingen, en zelfs als er om je systeemwachtwoord wordt gevraagd om ze zichtbaar te maken — dat wachtwoord kent degene die bij je woont of je heeft zien typen.
Het tweede: een programma dat je browserprofiel kopieert. Het breekt niets open. Het neemt de bestanden mee en opent ze elders op zijn gemak. Dat soort software komt vaak genoeg voor om een eigen naam in de sector te hebben, infostealer, en het is precies de reden waarom «maar ze zijn toch versleuteld» altijd de vervolgvraag nodig heeft: versleuteld, prima — en waar is de sleutel?
Tegen dat tweede scenario houdt het model van Apple stand, dat van Google houdt stand als je de wachtwoordzin hebt aangezet, en Firefox zonder hoofdwachtwoord houdt niets tegen.
Wat te doen, op volgorde van wat het meest uitmaakt
Eén. Gebruik je Firefox, stel dan een hoofdwachtwoord in. Het is een vinkje in de privacy-instellingen en het is met afstand de wijziging op deze lijst die het meest beschermt voor de minste moeite.
Twee. Gebruik je Chrome of Android, ga dan naar de manager van Google en zet versleuteling op het apparaat of de synchronisatiewachtwoordzin aan. Schrijf hem ergens fysiek op vóór je hem aanzet, en begrijp wat je tekent: vanaf dat moment is die zin de enige deur.
Drie. Kijk naar het wachtwoord van het account dat al het andere bewaart. Je Google-account, je Apple ID of je Microsoft-account hield op «zomaar een account» te zijn op het moment dat je er wachtwoorden in ging bewaren: ze zijn nu de sleutel tot de rest. Als je dat wachtwoord acht jaar geleden zelf hebt bedacht, haal het dan door de wachtwoord-checker en kijk wat er staat. En als je zin hebt, vervang het door een uit de generator.
Vier. Zet de tweede factor aan op dat account. Dat is de stap die «ze kennen je wachtwoord» verandert in «ze komen er toch niet in».
Is dit genoeg, of heb ik een echte manager nodig?
Dat hangt ervan af waarvoor, en hier is het eerlijke antwoord niet het antwoord dat verkoopt.
Voor de meeste mensen is de manager van de browser met goed ingestelde versleuteling genoeg, en hij is oneindig veel beter dan het echte alternatief, dat geen betere manager is: hetzelfde wachtwoord op veertig sites.
Een aparte manager wint zodra er dingen opduiken die die van de browser slecht of niet doet: twee verschillende browsers gebruiken zonder gek te worden, een wachtwoord delen met je partner zonder het via WhatsApp te sturen, dingen bewaren die geen wachtwoorden zijn, een ecosysteem verlaten zonder alles kwijt te raken, of de code kunnen controleren van wie je geheimen bewaart. Daarover gaat een ander artikel, en de samenvatting is dat de grote sprong niet van de ene manager naar de andere gaat: hij gaat van geen enkele naar welke dan ook.
Wat je eigenlijk zocht
Je zocht een lijst. Die staat op passwords.google.com, in de app Wachtwoorden op
je iPhone of in de instellingen van je browser, afhankelijk van wat je gebruikt.
Maar nu je er toch bent, kijk nog naar één ding: hoe vaak hetzelfde wachtwoord zich in die lijst herhaalt. Alle drie de managers vertellen het je als je het vraagt. Dat getal verklaart je werkelijke situatie beter dan wat je ook over versleuteling kunt lezen, dit artikel inbegrepen.
Bronnen: Apple’s beveiligingsdocumentatie over de iCloud-sleutelhanger
—end-to-end versleuteld met sleutels die Apple niet kent, en met beperkte
pogingen— · Google Chrome-help over synchronisatie, de synchronisatiewachtwoordzin
en versleuteling op het apparaat · Mozilla-documentatie over hoe Firefox
wachtwoorden opslaat (logins.json en key4.db) en over het hoofdwachtwoord.
Foto van Ron Lach · Pexels