Workshop Veilig met een wachtwoordmanager

Dennis Gandasoebrata

Een wachtwoordmanager doet dienst als veilige kluis voor al je wachtwoorden. Met behulp van het hoofdwachtwoord – het enige wachtwoord dat je voortaan hoeft te onthouden – krijg je toegang tot je kluis met alle wachtwoorden. Goede wachtwoordmanagers kunnen na jouw toestemming de aanmeldingsgegevens automatisch invullen bij de dienst die je wilt gebruiken. De markt van wachtwoordmanagers verzadigd en voor veel aanbieders betaal je een vast bedrag of maandelijkse kosten. Wij geven de voorkeur aan een gratis wachtwoordmanager, die alle functionaliteit biedt die we nodig hebben. Voor dit artikel gaan wij aan de slag met KeePass. Dit is een gratis wachtwoordmanager met uitgebreide functionaliteit. Bovendien wordt het open source-programma regelmatig bijgewerkt en is er een actieve community die plug-ins voor de wachtwoordmanager ontwikkelt. Dankzij de grote set plug-ins waarmee je de standaardfuncties kunt uitbreiden, is het programma zowel geschikt voor beginnende als gevorderde computergebruikers. Dat zien we graag.

KeePass is gratis en uitgebreid

Database maken
De eerste keer dat je KeePass opent, word gevraagd of je een nieuwe wachtwoorddatabase wilt maken. De wachtwoorddatabase wordt opgeslagen als KDBX-bestand.
Zoals je verderop leest, kun je zelf bepalen waar je dit bestand opslaat. Zorg ervoor dat je regelmatig een back-up maakt van de database. Met behulp van het hoofdwachtwoord verschaf je jezelf toegang tot de kluis met je wachtwoorden. Het bedenken en geheim houden van een veilig wachtwoord is dus van groot belang. Geef hierna de aanvullende database-instellingen op, zoals een passende naam en omschrijving. Op het tabblad Beveiliging kies je de gewenste versleuteling. We laten de standaardinstellingen intact, zodat de database wordt versleuteld via AES/Rijndael 256-bit. De instellingen op de tabbladen Compressie, Prullenbak en Geavanceerd laten we ongewijzigd.

In de database slaat KeePass alle aanmeldingsgegevens op

Schakel naar Nederlands
Standaard wordt KeePass in de Engelse taal geïnstalleerd. Wij kiezen voor Nederlands. Ga naar https://keepass.info/translations.html en download hier het Nederlandse taalpakket. Open nu KeePass en kies voor View, Change Language. Klik op de knop Open Folder en zorg dat je in deze map het uitgepakte bestand uit de gedownloade ZIP-file opslaat. Kies nu weer voor View, Change Languague. In de lijst verschijnt Nederlands.

Extra beveiliging
Voor gevorderde gebruikers biedt KeePass nog een extra beveiligingslaag. In het eerdergenoemde venster om de hoofdsleutel te maken of wijzigen, vind je de optie Toon opties voor experts. De eerste optie is Sleutelbestand. Wanneer je hier gebruik van maakt, heb je voor toegang tot de database zowel het hoofdwachtwoord als het sleutelbestand nodig. Het sleutelbestand sla je op de lokale computer op, en je verwijst hier telkens naar zodra je de database opent. De tweede optie is Windows-gebruikersaccount. Hierbij koppel je de toegang aan je Windows-gebruikersaccount. Installeer je Windows opnieuw of verlies je toegang tot je account, dan heb je ook geen toegang meer tot de wachtwoorddatabase. Wij vermijden deze optie en geven de voorkeur aan een sleutelbestand.

Met een sleutelbestand voeg je een extra beveiligingslaag toe aan de wachtwoorddatabase

Wachtwoorden opgeven
Nu de wachtwoordmanager is geïnstalleerd, is het zaak om de bestaande wachtwoorden in de database op te slaan. Voor een goed overzicht is het handig om te werken met groepen. Zo maak je bijvoorbeeld een groep voor zakelijke wachtwoorden en een groep voor privéwachtwoorden. Kies Bewerken, Groep toevoegen. Geef elke groep een compacte naam. Hierna voeg je de wachtwoorden toe. Open de groep waarin je het wachtwoord wilt plaatsen en kies voor Bewerken, Invoer toevoegen. Op de tab Invoer geef je de basisgegevens op, waaronder titel, gebruikersnaam en wachtwoord. Geef ook het eventuele webadres op: dit komt later van pas.

Sterk wachtwoord
Met een wachtwoordmanager is het niet langer nodig een wachtwoord te kiezen dat je zelf kunt onthouden. Een willekeurige letter- en cijferreeks heeft dan ook de voorkeur. Laat KeePass een wachtwoord kiezen. Rechts van het vak Wachtwoord klik je op de knop Wachtwoord genereren. Kies in het menu de wachtwoordsterkte, bijvoorbeeld 40-Bit, 128-Bit of 256-Bit. Hoe sterker het wachtwoord, hoe langer de reeks. In de balk Kwaliteit lees je af hoe sterk het wachtwoord is. Je kunt ook een eigen set criteria opstellen waaraan het wachtwoord moet voldoen, met behulp van de wachtwoordgenerator.

Wachtwoordgenerator
De wachtwoordgenerator helpt je bij het maken van sterke wachtwoorden. Je kunt de manier waarop wachtwoorden worden opgezet, naar eigen inzicht aanpassen. Kies Extra, Wachtwoord genereren. De generator werkt op basis van profielen, die je in het gelijknamige menu bovenin kunt selecteren. 
Een profiel bevat de kenmerken waaraan een nieuw wachtwoord moet voldoen. Standaard zijn er al enkele profielen, zoals de eerdergenoemde 40-Bit of 128-Bit. Je kunt ook een nieuw profiel maken. Kies Aangepast en geef de gewenste instellingen op via het vak Huidige instellingen. Daar bepaal je onder meer of het wachtwoord moet bestaan uit hoofdletters, speciale tekens en haakjes. Tevreden? Klik op de knop met de diskette om het profiel op te slaan.

Wachtwoordgenerator (II)
Via de tab Geavanceerd geef je aanvullende eisen voor nieuwe wachtwoorden op, bijvoorbeeld dat elk gebruikt teken maar eenmaal mag voorkomen in het wachtwoord of dat tekens die qua uiterlijk op elkaar lijken, niet mogen worden gebruikt.

De wachtwoordgenerator helpt bij maken van sterke wachtwoorden

Wachtwoorden bijwerken
In de loop van de tijd heb je een grote verzameling wachtwoorden aangemaakt. De kans is groot dat ze niet allemaal even sterk zijn. Bovendien maak je mogelijk gebruik van hetzelfde wachtwoord voor meerdere diensten. Eerst controleren we de sterkte van de wachtwoorden. Kies Bewerken, Invoer weergeven, Wachtwoordkwaliteit rapport. KeePass neemt de volledige database door en geeft in de kolom Kwaliteit aan hoe sterk het wachtwoord is. Door de gebruikte kleuren krijg je snel een overzicht van de sterkte: de kleuren lopen van oranje/geel (matige kwaliteit) naar diepgroen (hoge kwaliteit).

Welke wachtwoorden laten te wensen over?

Controleren op dubbele wachtwoorden
Zorg dat wachtwoorden uniek zijn en dat niet hetzelfde wachtwoord wordt gebruikt voor meerdere services. Controleer met KeePass welke wachtwoorden dubbel worden gebruikt. Kies Bewerken, Invoer weergeven, Zoek dubbele wachtwoorden. Een overzicht verschijnt van wachtwoorden die aan vervanging toe zijn. Klik op een dubbel wachtwoord om een lijst te tonen van de bijbehorende diensten.

Voorkom dat je voor verschillende diensten hetzelfde wachtwoord gebruikt 

Wachtwoorden automatisch invoeren 
Via het menu onder de rechtermuisknop heb je toegang tot de opties voor het wachtwoord. Heb je een website geopend 
waarin om aanmeldingsgegevens wordt gevraagd, dan kun je de gegevens door KeePass laten invullen. Klik met rechts op de inloggegevens en kies Voer Auto-typen uit, of druk op Ctrl+V. De gegevens worden automatisch ingevuld. Je kunt ook alleen de gebruikersnaam of het wachtwoord kopiëren. Via de optie URL(‘s) kun je KeePass de website laten openen.

KeePass vult automatisch de aanmeldingsgegevens
voor je in op websites en in programmavensters

Snelle vergrendeling
Gebruik je je computer in een omgeving met meerdere personen en verlaat je even je plek? Vergrendel KeePass dan, zodat anderen geen toegang kunnen krijgen tot het venster met gegevens. Kies Bestand, Werkomgeving vergrendelen, of druk op Ctrl+L. Stel ook in dat KeePass automatisch vergrendelt zodra je het programma even niet hebt gebruikt. Kies Extra, Opties en open het tabblad Beveiliging. Plaats een vinkje bij Bij KeePass inactiviteit de werkomgeving vergrendelen na (seconden). Stel hier bijvoorbeeld 300 seconden in. Ook de optie eronder – Bij algehele inactiviteit de werkomgeving vergrendelen na (seconden) – activeer je. Ga je voor aanvullende bescherming, dan kun je ook aangeven dat KeePass moet vergrendelen zodra je het programmavenster minimaliseert. Activeer daarvoor de optie Werkomgeving vergrendelen bij het minimaliseren van het hoofdvenster naar de taakbalk.

Veiligheid voor alles: KeePass vergrendelen zodra je het programma niet gebruikt

Automatisch starten
Grote kans dat je de wachtwoordmanager vaak gebruikt. Via het eerder geopende venster Opties stel je in dat KeePass automatisch wordt geopend na het aanmelden bij Windows. Open de tab Integratie en zet een vinkje bij de optie Start KeePass bij het starten van Windows.

Hoofdsleutel aanpassen
Je kunt op elk moment de hoofdsleutel van de wachtwoorddatabase aanpassen. Kies Bestand, Hoofdsleutel wijzigen. Als je dit doet, vergeet dan niet de gegevens bij te werken op het noodblad (waarover je verderop leest).

Online opslaan
De wachtwoorddatabase van KeePass kun je opslaan op een zelfgekozen locatie. Dat kan de lokale computer zijn, maar bijvoorbeeld ook een gedeelde netwerklocatie (bijvoorbeeld op een NAS). Voordeel hiervan is dat je je wachtwoorddatabase altijd in eigen beheer houdt (in tegenstelling tot bij een wachtwoordmanager die je gegevens in de cloud op externe servers opslaat). Sluit eerst KeePass en verplaats daarna het KDBX-bestand naar de gewenste locatie. Hierna kies je in KeePass voor Bestand, Openen, Bestand openen. Wijs het KDBX-bestand aan. Je kunt de wachtwoorddatabase ook opslaan op een online account zoals OneDrive of Dropbox, of op je eigen FTP-server. Uiteraard zorg je dat deze diensten goed zijn beveiligd en je wachtwoorddatabase niet in verkeerde handen kan vallen.

Erg verstandig: een noodblad met al je gegevens


In geval van nood
Voorkom dat je de toegang tot de wachtwoorddatabase verliest. Met KeePass maak je een noodblad. Hierop vind je de locatie van het databasebestand en eventuele back-ups. Ook kun je op het noodblad het hoofdwachtwoord noteren. Het komt van pas in situaties waarin je zelf niet meer in staat bent om de wachtwoorddatabase te openen en je anderen (bijvoorbeeld je nabestaanden) een middel wilt geven om bij je gegevens te komen. Kies Extra, Database gereedschappen, Print Noodblad. Bewaar het noodblad op een veilig plek, bijvoorbeeld in een kluis, en laat belangrijke personen weten dat het papiertje bestaat en waar ze het kunnen vinden in geval van nood.

Extra functionaliteit 
KeePass is niet alleen een interessante wachtwoordmanager omdat deze uitgebreid en gratis te gebruiken is, maar ook omdat er een flinke hoeveelheid plug-ins door de community beschikbaar wordt gesteld. Met plug-ins breid je de functionaliteit van het programma uit. Je vindt alle plug-ins via https://keepass.info/plugins.html. In de sectie Backup & Synchronization vind je plugs-in waarmee je de wachtwoorddatabase op een back-uplocatie kunt opslaan of vanaf elke locatie beschikbaar kunt maken via diensten zoals Dropbox en OneDrive. De sectie Import is ook interessant: hier vind je plug-ins waarmee je wachtwoordbestanden van andere wachtwoordmanagers kunt importeren naar KeePass-formaat. De meeste plug-ins hebben een eigen pagina, waarop je meer informatie over de werking vindt en vaak ook screenshots kunt bekijken.

Voor KeePass is een grote hoeveelheid plug-ins beschikbaar,
waarmee je de functionaliteit van de software uitbreidt

Mobiel gebruik
Wil je KeePass ook gebruiken op je telefoon? Voor Android zijn verschillende clients beschikbaar, waaronder Keepass2Android.
De nieuwste versie vind je op https://github.com/PhilippC/keepass2android. Uiteraard is ook deze client zonder kosten te gebruiken.