Je browser biedt al aan om je wachtwoorden op te slaan, en dat is gratis en ingebouwd — waarom bestaat er dan überhaupt een speciale wachtwoordmanager? Beide lossen hetzelfde basisprobleem op (wachtwoorden niet opnieuw hoeven te typen) met aanzienlijk verschillende beveiligingsmodellen. Dit artikel vergelijkt ze rechtstreeks.
Kort samengevat
- Zowel de wachtwoordopslag van de browser als speciale managers versleutelen opgeslagen wachtwoorden — de betekenisvolle verschillen zitten in ondersteuning tussen browsers/platforms, beveiligingsaudits, en wat er gebeurt als je apparaat wordt gecompromitteerd.
- In de browser opgeslagen wachtwoorden zijn doorgaans alleen beschermd op hetzelfde niveau als de aanmelding van je apparaat; speciale managers voegen een onafhankelijke hoofdwachtwoordlaag toe.
- Speciale managers bieden over het algemeen betere synchronisatie tussen platforms (een in Chrome opgeslagen wachtwoord helpt je niet in Safari op een ander apparaat), delen, en monitoring van datalekken.
- Geen van beide vervangt de basisbehoefte aan sterke, unieke, willekeurig gegenereerde wachtwoorden — beide zijn slechts opslag daarvoor.
Kort antwoord
Wachtwoordopslag in de browser is handig en beter dan het hergebruiken van wachtwoorden, maar een speciale wachtwoordmanager biedt over het algemeen sterkere, draagbaardere beveiliging — vooral omdat deze niet gebonden is aan het ecosysteem van één browserleverancier en doorgaans een eigen hoofdwachtwoord vereist dat onafhankelijk is van de aanmelding van je apparaat. Wat je ook kiest, genereer de wachtwoorden zelf met een tool zoals PassGenerate in plaats van te vertrouwen op onthoudbare maar raadbare keuzes.
Hoe elk je gegevens daadwerkelijk beschermt
Wachtwoordopslag van de browser (Chrome, Firefox, Safari, Edge) versleutelt je opgeslagen wachtwoorden, doorgaans gekoppeld aan de inloggegevens van je gebruikersaccount van het besturingssysteem of aan een browsersynchronisatiewachtwoord dat je instelt. Bij de meeste configuraties kan iemand die als jou is aangemeld op je apparaat — of malware die als jou draait — vaak met relatief weinig extra stappen toegang krijgen tot je opgeslagen wachtwoorden of ze exporteren, aangezien de aanmeldstatus van de browser zelf als sleutel dient.
Speciale wachtwoordmanagers (NordPass, Bitwarden, 1Password, Proton Pass, en andere) gebruiken doorgaans een apart hoofdwachtwoord om de versleutelingssleutel van je kluis af te leiden, onafhankelijk van de aanmelding van je apparaat. Dit betekent dat het ontgrendelen van je kluis meer vereist dan alleen aangemeld zijn op het apparaat — een aanvaller met toegang tot het apparaat heeft nog steeds specifiek je hoofdwachtwoord nodig. Zie de NordPass-review voor een nadere blik op hoe een specifieke manager dit implementeert.
Een echt geval: waarom dit onderscheid niet theoretisch is
De kloof tussen deze twee modellen is niet hypothetisch — het is precies het mechanisme achter een hele categorie van informatie-stelende malware. RedLine Stealer, voor het eerst gezien in 2020 en nog steeds actief, is speciaal gebouwd om in de browser opgeslagen inloggegevens te verzamelen: eenmaal actief op een geïnfecteerd apparaat, lokaliseert het het lokale opslagbestand met inloggegevens van de browser, leest de eveneens lokaal opgeslagen sleutel die nodig is om het te ontsleutelen, en exfiltreert elke opgeslagen gebruikersnaam, wachtwoord en site-URL naar de aanvaller — allemaal zonder de aanmeldprompt van de browser zelf te hoeven aanraken. In een gedocumenteerd geval had een thuiswerkende medewerker een bedrijfs-VPN-wachtwoord opgeslagen in de opslag voor opgeslagen wachtwoorden van zijn browser, op een apparaat dat al geïnfecteerd was met RedLine Stealer; ongeveer drie maanden later gebruikte de aanvaller die gestolen inloggegevens om het netwerk van het bedrijf te compromitteren.
Dat specifieke aanvalspad — het lezen van een ontsleutelingssleutel die lokaal is opgeslagen omdat deze aan het apparaat is gekoppeld in plaats van aan een apart geheim dat je in je hoofd bewaart — is precies wat het onafhankelijke hoofdwachtwoord van een speciale manager is ontworpen om te voorkomen. Malware met dezelfde apparaattoegang kan nog steeds het versleutelde kluisbestand van een speciale manager stelen, maar zonder je apart bewaarde hoofdwachtwoord kan het dit niet ontsleutelen.
Vergelijking naast elkaar
| Factor | Opslag in de browser | Speciale wachtwoordmanager |
|---|---|---|
| Bron van de versleutelingssleutel | Meestal gekoppeld aan apparaataanmelding / browsersynchronisatiewachtwoord | Onafhankelijk hoofdwachtwoord |
| Ondersteuning tussen browsers | Nee — beperkt tot het ecosysteem van één browser | Ja — werkt via extensie/app op verschillende browsers en besturingssystemen |
| Inloggegevens delen met anderen | Beperkt of niet ondersteund | Vaak ondersteund via veilige deelfuncties |
| Monitoring van datalekken | Steeds gebruikelijker, verschilt per browser | Standaardfunctie in de meeste betaalde niveaus |
| Controleerbaarheid | Browsercode deels open (Chromium) of gesloten (Safari) | Verschilt — Bitwarden is volledig open source; de meeste andere niet |
| Kosten | Gratis, ingebouwd | Vaak gratis niveau + betaalde niveaus voor geavanceerde functies |
Wanneer opslag in de browser echt voldoende is
Niet elke situatie vereist een speciale manager. Als je consistent één browser gebruikt op al je apparaten, de aanmelding van je apparaat zelf sterk houdt, en geen inloggegevens met iemand anders hoeft te delen, is wachtwoordopslag in de browser een echte beveiligingsverbetering ten opzichte van het hergebruiken van onthouden wachtwoorden — de versleuteling is legitiem, en het is veel beter dan het alternatief van overal een handvol wachtwoorden hergebruiken omdat een manager te veel gedoe leek.
Wanneer overstappen naar een speciale manager de moeite waard is
Een speciale manager rechtvaardigt de extra installatiestap wanneer je: meer dan één browser gebruikt of wachtwoorden nodig hebt op verschillende ecosystemen (bijvoorbeeld Chrome op Windows en Safari op iOS); specifieke inloggegevens veilig wilt delen met familie of een team zonder ze hardop voor te lezen of per sms te sturen; onafhankelijke monitoring van datalekken wilt in plaats van te vertrouwen op de detectie van één leverancier; of specifiek de mogelijkheid wilt om de code te controleren, in welk geval een open-sourceoptie zoals Bitwarden het meest geschikt is — de codebase is publiekelijk controleerbaar, en ondergaat jaarlijkse audits door derden (waaronder het beveiligingsbedrijf Cure53), naast een speciale cryptografische beoordeling door de Applied Cryptography Group van de ETH Zürich, plus een eigen bug bounty-programma.
Wat geen van beide aanpakken alleen oplost
Zowel opslag in de browser als speciale managers zijn slechts opslag — ze maken een zwak wachtwoord niet sterk. Een hergebruikt, raadbaar wachtwoord dat in een versleutelde kluis is opgeslagen, blijft een hergebruikt, raadbaar wachtwoord; de kluis maakt het alleen maar handiger om te hergebruiken. Het echte beveiligingswerk gebeurt op het moment van generatie: gebruik een op CSPRNG gebaseerde generator om voor elk account een uniek, willekeurig wachtwoord te maken, en laat de opslagmethode van je voorkeur zich bezighouden met het onthouden ervan.
Belangrijkste inzichten
- Zowel opslag in de browser als speciale managers versleutelen wat ze opslaan; de echte verschillen zitten in sleutelonafhankelijkheid, platformbereik, delen, en controleerbaarheid.
- Opslag in de browser is een redelijke standaardkeuze als je één browser, één ecosysteem gebruikt en geen inloggegevens hoeft te delen.
- Een speciale manager rechtvaardigt zijn installatiekosten met synchronisatie tussen platforms, veilig delen, en (specifiek voor Bitwarden) open-sourcecontroleerbaarheid.
- Geen van beide lost zwakke of hergebruikte wachtwoorden op — dat wordt opgelost op het moment van generatie, niet op het moment van opslag.
Waarom je PassGenerate kunt vertrouwen
- Wachtwoorden worden lokaal in je browser gegenereerd met de Web Crypto API.
- Er worden geen wachtwoorden naar servers verzonden.
- Gebruikt een cryptografisch veilige pseudowillekeurige-getallengenerator (CSPRNG).
- Volgt moderne best practices voor beveiliging, aanbevolen door NIST en OWASP.
Bronnen
- Analyse van de RedLine Stealer-malware (gericht op de opslag van browserinloggegevens)
- Beveiligingsaudits van Bitwarden door derden (Cure53, Applied Cryptography Group van de ETH Zürich)
- NIST SP 800-63B – Digital Identity Guidelines
- OWASP Authentication Cheat Sheet
- Web Crypto API-documentatie van MDN
Conclusie
Zowel wachtwoordopslag in de browser als speciale wachtwoordmanagers zijn beter dan het hergebruiken van onthouden wachtwoorden, en de juiste keuze hangt vooral af van hoeveel browsers en apparaten je daadwerkelijk gebruikt en of je inloggegevens met iemand moet delen. Belangrijker dan welke opslagmethode je kiest, is wat je opslaat — genereer eerst unieke, willekeurige wachtwoorden voor elk account, en laat de gekozen opslagmethode de rest afhandelen.