Wachtwoordmanager
Een wachtwoordmanager is een handige applicatie om wachtwoorden veilig op te slaan en eenvoudig te gebruiken bij het inloggen. Zo hoef je wachtwoorden niet meer te onthouden en je kunt dus probleemloos per applicatie een ander, sterk wachtwoord gebruiken. Hieronder vertellen we meer over de werking en de mogelijkheden van zo’n wachtwoordmanager. Ook schetsen we hoe je binnen je IAM omgeving voordeel kan hebben van deze slimme tool.
Wat is een wachtwoordmanager?
Een wachtwoordmanager is, het varieert per leverancier, een cloudapplicatie of software die je lokaal op een apparaat installeert. De kern wordt gevormd door een goed beveiligde digitale kluis waarin je wachtwoorden kunt opslaan en gebruiken bij het inloggen op websites en applicaties. Naast wachtwoorden kun je er meestal ook andere vertrouwelijke gegevens opslaan zoals pincodes, documenten of creditcardgegevens. Als eigenaar krijg je toegang tot je gegevens met een master wachtwoord. Dat is ook het enige wachtwoord dat je als gebruiker nog hoeft te onthouden. De rest van je wachtwoorden en andere gegevens zijn met één klik beschikbaar. Wachtwoordmanagers worden zowel privé als binnen bedrijven en organisaties gebruikt.
Hoe werkt een wachtwoordmanager?
Na het installeren of activeren van je wachtwoordmanager kun je aan de slag. Je beveiligt de tool met een persoonlijke gebruikersnaam – meestal een emailadres – en een masterwachtwoord. Dat wachtwoord moet uiteraard uniek en voldoende sterk zijn want met dit wachtwoord heb je toegang tot al je wachtwoorden. Daarom kun je een wachtwoordmanager meestal ook extra beveiligen met Multi-Factor Authenticatie (MFA).
Items toevoegen aan je wachtwoordmanager
In je digitale kluis kun je vervolgens wachtwoorden en andere gegevens opslaan. Daarvoor geef je eerst aan welk type item je wilt toevoegen, zoals een wachtwoord of een creditcard. Vervolgens kun je de relevante gegevens invullen. Bij een wachtwoord gaat het bijvoorbeeld om de naam van de applicatie of webservice, de url, de gebruikersnaam en het wachtwoord. Als het om een nieuw account gaat en je nog een wachtwoord moet aanmaken, dan genereren de meeste wachtwoordmanagers automatisch een sterk wachtwoord met behulp van hun ingebouwde wachtwoordgenerator. Wachtwoordregels zoals de minimale lengte en de gebruikte tekens kun je daarvoor zelf instellen.
Inloggen met je wachtwoordmanager
De meeste wachtwoordmanagers bieden plug-ins voor alle gangbare browsers. Bezoek je daarmee de inlogpagina van een website of applicatie waarvan de accountgegevens al zijn opgeslagen? Dan herkent de wachtwoordmanager dit en zal hij met de ‘autofill’ functie de gegevens automatisch aanvullen. Maak je ergens een nieuw account aan? Dan kun je die gegevens met één klik toevoegen aan de wachtwoordmanager.
Gegevens delen
Via de wachtwoordmanager kun je gegevens vaak ook eenvoudig delen met bijvoorbeeld gezinsleden of collega’s. Dit is vooral privé een handige optie om bijvoorbeeld de inloggegevens van Netflix en andere gezamenlijke accounts te delen. Binnen bedrijfsomgevingen is het delen van accountgegevens meestal niet gewenst.
Voordelen van een wachtwoordmanager
Zo’n wachtwoordmanager biedt meerdere voordelen voor zowel veiligheid als gemak:
Eén wachtwoord onthouden: Je hoeft alleen je masterwachtwoord te onthouden, en juist daarom is het ook geen probleem om dat wachtwoord voldoende sterk te maken.
Sterke wachtwoorden: De regel voor wachtwoorden is dat die uniek en voldoende sterk moeten zijn. Normaal is dat een probleem als je alle wachtwoorden zelf moet onthouden. Nu is dat niet nodig en is deze eis dus geen probleem.
Efficiënt en gebruiksvriendelijk: meestal zorgt de ‘autofill’ optie dat inloggegevens automatisch worden ingevoerd. En anders kun je dat zelf doen met één klik.
Synchronisatie: Bij een online wachtwoordmanager zijn je wachtwoorden automatisch beschikbaar op al je apparaten.
Veilige opslag: De wachtwoordmanager fungeert als een kluis voor digitale gegevens. Zonder het masterwachtwoord zijn de gegevens gegarandeerd ontoegankelijk.
Extra bescherming tegen phishing: je slaat in een wachtwoordmanager ook de url van een website of applicatie op. Bij phishing pogingen wordt vaak een afwijkende url gebruikt die de wachtwoordmanager niet herkent.
Zo maakt een wachtwoordmanager het veel eenvoudiger én veiliger om je wachtwoorden te gebruiken en te beheren.
Zijn wachtwoordmanagers veilig?
Ja. Ongeacht of de gegevens lokaal of in de cloud zijn opgeslagen, ze worden versleuteld met sterke encryptiemethodes zoals AES-256. Uiteraard betekent dit wel dat de ‘centrale login’ extra aandacht moet krijgen. Daar heb je echter maar één masterwachtwoord voor nodig en dan is het normaliter geen probleem om daarvoor een uniek en sterk wachtwoord te kiezen. Zeker in combinatie met Multi-Factor Authenticatie of een hardware key zoals de Yubikey is de toegang uitstekend beveiligd.
Overigens beperkt die beveiliging zich tot de wachtwoordmanager. Zodra je ergens gaat inloggen worden de inloggegevens vanuit de wachtwoordmanager op de reguliere manier online naar de betreffende applicatie of website verstuurd. Daar kunnen wachtwoorden nog steeds worden gestolen door hackers. De wachtwoordmanager zorgt ervoor dat jij als persoon zo goed mogelijk omgaat met wachtwoorden maar het blijven wachtwoorden en die zijn altijd enigszins kwetsbaar. Daarom wordt er ook hard gewerkt aan andere authenticatiemethodes zoals biometrische verificatie en passkeys.
Tips voor het kiezen van een wachtwoordmanager
Wat is de beste wachtwoordmanager? Het antwoord op die vraag hangt natuurlijk altijd af van de eigen wensen en omstandigheden. Hieronder verzamelden we een aantal zaken waar je in ieder geval op moet letten bij de keuze voor een wachtwoordmanager:
Beveiliging: Zorgt de wachtwoordmanager voor End-to-end encryptie (E2EE) zodat echt alleen de gebruiker toegang heeft? Wordt er een sterk encryptiealgoritme gebruikt zoals AES-256? Wordt MFA ondersteund?
Apparaat compatibiliteit: Welke apparaten kun je gebruiken en met welke operating systemen en browsers?
Gebruiksvriendelijkheid: Kun je items gemakkelijk toevoegen en kun je de opgeslagen wachtwoorden eenvoudig gebruiken om in te loggen?
Kosten: Welke features krijg je voor welk abonnement? Veel gratis accounts bieden net te weinig functionaliteit om bruikbaar te zijn.
Toekomstgericht: Ondersteunt de software ook modernere authenticatievormen zoals passkeys?
Reputatie en transparantie: Zijn er beveiligingsincidenten geweest en hoe is de leverancier daar mee omgegaan? Is de software gebaseerd op open source en controleerbaar?
Ook veel organisaties en bedrijven stimuleren of verplichten het gebruik van een wachtwoordmanager. Bij de keuze van een zakelijke wachtwoordmanager zul je ook nog kijken naar zaken als onderhoud, gebruikersondersteuning, monitoring en rapportagetools. En uiteraard moet je ook nagaan in hoeverre de oplossing voldoet aan de eigen IT-richtlijnen.
Hoe maak je een veilig wachtwoord?
Een veilig of sterk wachtwoord is een wachtwoord waarbij het hacken te duur is of te veel tijd kost voor wat het oplevert. Het hackgevaar zit daarbij niet zozeer in real-time inlogpogingen want die worden meestal na enkele mislukte pogingen al herkend.
Dat ligt anders bij een gestolen of gelekte database met inloggegevens. Wachtwoorden worden daarin versleuteld opgeslagen als zogeheten hashcodes. Met zo’n hash kun je niet inloggen maar offline kun je met behulp van brute force technieken herleiden welk wachtwoord bij een bepaalde hashcode past. Met de huidige computerkracht kun je miljoenen of zelfs miljarden wachtwoordvariaties per seconde uitproberen, net zolang tot je een wachtwoord hebt gevonden.
Lange en complexe wachtwoorden
Je moet dus voldoende wachtwoordvarianten hebben om te zorgen dat zelfs zo’n brute force aanpak nog steeds te veel tijd en rekenkracht kost. Dat bereik je door wachtwoorden complex en lang te maken:
Oorspronkelijk bestonden wachtwoorden meestal uit alleen letters. Tegenwoordig eisen applicaties vaak een complex wachtwoord met ook cijfers, hoofdletters en bijzondere tekens. Dat levert veel meer varianten op en dat maakt een hackpoging veel lastiger.
Iets vergelijkbaars geldt voor de lengte. Wachtwoorden van 8 tekens worden tegenwoordig als te kort beschouwd. Vaak is nu de ondergrens 12 tekens of meer. Des te langer een wachtwoord is, des te meer varianten er zijn.
Veel applicaties hebben daarom strenge eisen vastgelegd voor de keuze van een wachtwoord. In de meeste wachtwoordmanagers kun je zulke regels instellen voor de ingebouwde wachtwoordgenerator. Voor die wachtwoorden is het ook niet nodig je in te houden qua lengte en complexiteit. Je hoeft ze immers niet meer zelf te onthouden.
Hoe bepaal je je master wachtwoord?
Dat ligt anders voor je master wachtwoord want die moet je zelf onthouden. In dat geval is dat bij voorkeur een extra lang wachtwoord maar zonder complexe tekens. We vermoeien je niet met de rekensommen (die vind je hier) maar de vuistregel is dat extra lengte bij een wachtwoord meer bijdraagt aan de sterkte dan het gebruik van complexe tekens. Terwijl complexe wachtwoorden meestal lastiger zijn te onthouden en gebruiken.
Daarom zie je dat steeds meer gebruikers kiezen voor een wachtzin die bestaat uit enkele woorden. Bij elkaar levert dat een heel lang en veilig wachtwoord op dat je toch relatief eenvoudig kunt onthouden. Onze Tools4ever wachtwoordgenerator maakt gebruik van dat principe. Die genereert automatisch een veilige wachtzin bestaande uit meerdere termen, zoals:
vinyl ketter clinic konden
De praktijk is dat zelfs zo’n zin van niet bestaande of onsamenhangende woorden meestal eenvoudiger is te onthouden dan een korter maar complex wachtwoord. Wil je overigens weten hoe veilig een gekozen wachtwoord is? Dat check je in onze wachtwoordcalculator.
Wachtwoordmanagers met IAM platformen zoals HelloID?
Is er behoefte aan een wachtwoordmanager als je organisatie ook gebruik maakt van een IAM platform? In principe vullen beiden elkaar aan. Met een IAM platform als HelloID zorg je dat gebruikers worden voorzien van de juiste accounts en rechten. Die instellingen worden geprovisioned in verschillende doelsystemen. De manier waarop gebruikers vervolgens inloggen op zo’n doelsysteem verschilt per klant. Als gebruikers handmatig inloggen, is een wachtwoordmanager bijna een noodzakelijke aanvulling. Alleen zo kun je voor iedere applicatie een uniek en veilig wachtwoord gebruiken.
Echter, de meeste organisaties verzorgen het inloggen via de HelloID access management functionaliteit van HelloID of met een externe Identity Provider, zoals Active Directory of Entra ID. In dat geval beschik je over Single Sign-On functionaliteit en is de rol van een wachtwoordmanager minder belangrijk.
Geen gedoe met wachtwoordmanagers met Single Sign On?
Veel organisaties maken gebruik van Single Sign-On (SSO). Hiermee hoef je maar één keer aan het begin van een gebruikerssessie in te loggen op bijvoorbeeld de Active Directory. Daarna zorgt het SSO mechanisme dat je automatisch toegang krijgt op alle geregistreerde applicaties. Op het eerste gezicht heb je in dat geval niets meer aan een wachtwoordmanager. Die gebruik je immers om je inloggegevens te bewaren, terwijl je die bij SSO helemaal niet nodig hebt.
Toch is dat niet het hele verhaal. Niet alle bedrijfsapplicaties ondersteunen Single Sign-On en sowieso zullen medewerkers vaak ook nog eigen zakelijke applicaties en websites gebruiken. Die accounts kun je niet allemaal beheren via het IAM platform en dus heb je je wachtwoordmanager nog steeds nodig om de wachtwoorden te onthouden.
Combineren van IAM en een wachtwoordmanager?
IAM Single Sign-On en je wachtwoordmanager kunnen elkaar dus uitstekend aanvullen. Op onze website vind je meer over de SSO functionaliteit die onderdeel is van de HelloID Access Management module. Met deze module beschik je ook over Multi-Factor Authenticatie waarmee je je authenticatie extra veilig maakt.