Kan een wachtwoordmanager zelf gehackt worden?
Het korte antwoord
Ja, de bedrijven erachter kunnen gehackt worden. Bij LastPass gebeurde dat eind 2022. Bij een goede zero-knowledge-manager blijven je wachtwoorden dan versleuteld en hangt de kans op kraken af van de sterkte van jouw hoofdwachtwoord. Kies dus een geaudite dienst en maak dat hoofdwachtwoord lang.
Uitgebreid
Ja, ook beveiligingsbedrijven worden aangevallen. Het bekendste voorbeeld is LastPass. Daar maakten aanvallers eind 2022 versleutelde kluiskopieen buit. Dat incident en vooral de moeizame communicatie eromheen wegen mee in ons oordeel. Wie al bij LastPass zit, kan daar wat ons betreft blijven. Nieuwe gebruikers raden we om die reden een andere dienst aan. Het verschil zit niet in of een bedrijf aangevallen wordt. Het zit in wat een aanvaller dan in handen heeft en hoe het bedrijf reageert.
Bij een goed gebouwde zero-knowledge-manager is de buit onleesbaar zonder jouw hoofdwachtwoord. De sterkte van dat wachtwoord bepaalt dan alles. Een lange woordzin houdt zelfs gerichte kraakpogingen op buitgemaakte kluizen tegen. De extra geheime sleutel van 1Password maakt die route zelfs praktisch onmogelijk. Open source diensten als Bitwarden en Proton Pass laten hun architectuur door iedereen en door auditors controleren.
Kijk ook naar het alternatief. Zonder manager hergebruik je wachtwoorden. Dan is elk datalek bij elke webshop direct jouw probleem. Een geaudite manager met een sterk hoofdwachtwoord en 2FA blijft de veiligste plek voor je digitale leven.