Dat klinkt als een stap in de goede richting! Ik ga daar eens naar kijken.

en dat is een voordeel voor wie en waarom? ik zie 'm ff niet

Je kon al een primary password instellen. Als je dat niet doet zijn login gegevens te tonen in Firefox. Als je een gedeelde computer met 1 account hebt, kunnen alle personen opgeslagen login gegevens zien.

Dat nu device sign-in wordt toegevoegd is een verbetering voor beheerders van dergelijke computers.

Inloggen met biometrie om je wachtwoorden zichtbaar te maken bestaat al langer in MacOS Sonoma in Safari.

Dat alleen de juiste persoon kan inloggen en niet iemand die een wachtwoord heeft gepikt.

Volgens mij veranderd dit niets. Als je al besluit dat meerdere mensen onder hetzelfde account werken, dan kennen ook al deze mensen het wachtwoord van het account en kunnen dus alle wachtwoorden zien.

Waarom laten ze het wachtwoord management niet gewoon over aan het systeem. Safari op de mac beheert zelf helemaal geen wachtwoorden. Chrome op de mac gebruikte vroeger ook de wachtwoord manager van de mac. Prettig want dan kon je chrome en safari door elkaar gebruiken met de opgeslagen wachtwoorden.

En in het geval van een gedeeld account, kunnen individuele gebruikers een eigen sleutelhanger aanmaken met eigen hoofdwachtwoord. Zo doe ik het in elk geval, want ik laat ook toe dat collega's op mijn (onze) PC werken.

Ik gebruik al jaren een primary (master) password in Fx.

Het nieuws is niet dat dat kan maar dat Firefox in plaats daarvan voortaan ook de macOS- of Windows-login kan gebruiken.

Dit heeft Mozilla eerder al geprobeerd met Thunderbird. De username + password van je mail accounts zaten achter een UAC scherm van Windows.

Ondertussen is Thunderbird hier mee gestopt omdat het onzinnig is (je wachtwoorden staan nog steeds unencrypted in AppData\Roaming), maar kennelijk is de bedenker hiervan nu bezig dit bij Firefox te promoten.

Het is gedoemd te mislukken. Als je zoiets wil, stop het dan in de TPM en klaag niet dat je het niet daaruit kan exporteren :-)

Ik zie dat het support-artikel van Mozilla voor Brunei niet in het Maleis beschikbaar is, en dan maar in het Nederlands wordt getoond. Dan valt het weer mee dat ik die taal redelijk beheers ;-).

Risico's beperken.

In browsers wordt untrusted code (Javascript) vanaf internet uitgevoerd, en er worden elke maand kritische kwetsbaarheden in browsers ontdekt (en in de meeste gevallen gerepareerd). Daarnaast zijn browser-extensies (ook bekend als plug-ins) meestal handig, maar die hebben vaak volledige toegang tot webpagina's (kunnen "zien" wat er staat, wat jij invoert en ook alles wat jij ziet, wijzigen - en zijn daarmee, net als de browser zelf, een MitM (Man in the Middle)).

Daarom is het onverstandig om al jouw wachtwoorden "kaal" (onversleuteld) in een browser op te slaan. Als je de toegang tot "in de browser" opgeslagen wachtwoorden beveiligt met een wachtwoord, is dat al een flinke verbetering - maar als jouw browser gecompromitteerd raakt (of een browser-extensie een andere, kwaadaardige, eigenaar heeft gekregen) kan in de browser het master password van de wachtwoorddatabase worden afgekeken en de database zelf worden gekopiejat - dat allemaal zonder dat het besturingssysteem is gecompromitteerd.

Het gebruik van het "ontgrendel" wachtwoord van een apparaat, voor het ontsleutelen van een wachtwoorddatabase, heeft in elk geval de volgende voordelen:

1) De makers van de hardware en het besturingssysteem doen er, in de meeste gevallen, veel aan om de invoer van de "ontgrendelcode" (mogelijk biometrisch) zo goed als moegelijk af te schermen van andere (mogelijk "draaiende") applicaties op het apparaat (het risico van "key loggers" wordt aanzienlijk verkleind, vooral bij het gebruik van biometrie).

2) Een vereiste voor elk versleuteld bestand (dus ook een wachtwoorddatabase) is dat het gebruikte wachtwoord extra sterk is (omdat een bestand zichzelf niet kan verdedigen met bijv. een "account lockout" o.i.d.). Vooral op schermtoetsenbordjes van smartphones is het foutloos invoeren van een sterk wachtwoord voor de meeste mensen een drama. Het kunnen gebruiken van een vingerafdruk of gezichtsscan, of zelfs een pincode, vereenvoudigt dit proces enorm (het databasewachtwoord kan daarbij extreem sterk zijn; meestal wordt dit in een "veilige enclave" in de hardware van het apparaat opgeslagen, en vrijgegeven met de ontgrendelcode). Een risico blijft wel bestaan als de browser die database beheert en die database met browser-code wordt ontgrendeld; daarom heeft een separate wachtwoordmanager mijn voorkeur.

3) Mensen hoeven niet persé het databasewachtwoord zelf te onthouden, wel met als risico dat als zij (de toegang tot) hun apparaat verliezen, zij mogelijk zelf geen toegang meer hebben tot hun wachtwoorddatabase. Dat master-password ergens opschrijven kan een goed idee zijn (maar kent ook risico's: dat een ander het wachtwoord vindt of dat je zelf vergeet waar je het hebt opgeschreven).

Naast het scheiden van code van de browser is een ander voordeel van een separate wachtwoordmanager dat je daar ook andere (niet-web) wachtwoorden en andere geheimen in kunt opslaan, en er meestal een handige random wachtwoordgenerator in is opgenomen.

In elk geval onder Android, iOS en iPadOS heb je geen browser-extensie meer nodig om wachtwoorden uit een separate wachtwoordmamager automatisch te laten invullen tijdens het inloggen op websites - ongeacht de op dat moment gebruikte browser (ik heb meerdere browsers op mijn mobiele devices in gebruik).

Firefox doet voorkomen of het toegang vraagt tot je wachtwoordendatabase, en dat je de sleutel uit de TPM krijgt om die database te ontcijferen. Terwijl in werkelijkheid het ordinair iets doet waar administratorrechten voor nodig zijn, en daarna de database leest waar het al onvercijferd toegang tot had de hele tijd.

Het doet mij denken aan de oude Windows programma's waarmee je mappen kon verbergen. Maar dat is gewoon een functie van Windows zelf via een vlag in het bestandssysteem. Deze programma's pretendeerden je gevoelige bestanden veilig op te bergen en mensen trapten daar in en betaalden daar geld voor.

In feite is een hoofdwachtwoord veel beter als biometrie hier. Want als je Firefox afsluit zijn al je wachtwoorden zo veilig als je hoofdwachtwoord.

Een ander probleem is dat mensen moe worden van alle biometrieprompten en die altijd maar gaan toestaan als er weer eentje om hun oren vliegt. Waardoor de veiligheid van alle systemen waarop die gebruikers werken keldert.

Anoniem 19:54

Als je daar bewijs voor hebt, lees ik dat graag.

Ik noemde enkele risico's die bestaan als jouw browser nog niet afgesloten is. En ik schreef dat het invoeren van, noodzakelijkerwijs lange, wachtwoorden erg vervelend is.

Een lang wachtwoord invoeren is geen probleem, maar biometrisch unlocken wel?

Internet is, voor een groeiend deel, kwaadaardig. Er zijn mensen die dat snappen en er zijn mensen die dat niet doen of niet willen doen. Als iemand overal "onthoud mijn whatever" wil aanvinken: be my guest. Maar kom dan niet janken dat je gehacked bent.

Ik heb mij rot gezocht, omdat ik dacht dat het in Thunderbird zat, maar hier is wat context uit 2020: https://www.security.nl/posting/650943/Firefox+vraagt+OS-wachtwoord+voor+toegang+tot+opgeslagen+wachtwoorden

Er zijn dus gebruikers die dit (nog steeds) een goed idee vinden. Het komt steeds terug in verschillende vormen.

Ik zat erover na te denken, omdat in de TPM meestal private keys worden opgeslagen, hoe zit dat met Bitlocker? Die moet een vingerafdruk sturen naar de TPM. Welke dan een AES sleutel terug geeft. Anders dan dit kan het volgens mij niet.

Dus Firefox zou Bitlocker kunnen zijn en een sleutel aan de TPM kunnen vragen in ruil voor een vingerafdruk. Maar Device sign-in authentication is not designed to protect against sophisticated attackers who have local access to your computer. doet vermoeden dat dit hier niet het geval is. Waarmee de oplossing nog slechter is als een master password van 12-16 random tekens (wat is wat ik zou gebruiken als ik dat belangrijk vond). Ik heb geen wachtwoorden in mijn browser omdat ik bijna nooit ergens ingelogd ben. En als ik ingelogd ben dan log ik ook zo snel mogelijk weer uit als ik klaar ben.

Anoniem 19:54

Dank voor het zoeken, maar ik zie nergens dat Firefox "ordinair iets doet waar administratorrechten voor nodig zijn".

Klopt. En naast een vingerafdruk bestaat er ook een lange "rescue code" waarmee je diezelfde AES-sleutel uit de TPM kunt halen (AES is het meest gebruikt, maar een ander symmetrische encryptie-algoritme kan ook. En "om AES heen" heb je verschillende mogelijkheden).

Die uitspraak van Microsoft moet je in de juiste context zien:

1) Microsoft heeft heel lang van Bitlocker (voor FDE, volledige schijfversleuteling) gezegd dat het prima was om dat zonder wachtwoord, pincode of biometrie te gebruiken. Ik heb nooit begrepen tegen welke concrete bedreiging (anders dan dat een dief niet jouw hele computer steelt, maar slechts de schijf daaruit) dat zou beschermen. Want als een dief van de hele computer deze aanzet en even later de login-prompt verschijnt, zijn er vaak tal van mogelijkheden om dan toch in te kunnen loggen. Die trucs moet je dan wel kennen, dus Bitlocker voor FDE gebruiken zonder tijdens opstarten op z'n minst een pincode in te voeren, moet je niet zien als meer dan een drempel.

2) Op een computer waarop een gebruiker is ingelogd kunnen allerlei andere beveiligingsmechanismes in werking treden, die je nog niet hebt zolang het besturingssysteem nog niet draait (zoals permissies op mappen en bestanden).

Niet mee eens.

Zowel voor Windows, Linux, Android als iOS/iPadOS bestaan er keyloggers die "zien" wat jij intikt. Allerlei legitieme applicaties (waaronder TeamViewer en AnyDesk) maken gebruik van dit mechanisme; dat meestal prima gedocumenteerd is.

Het is veel lastiger, zo niet onmogelijk, voor applicatiesoftware om de data komend vanaf de vingerafdrukscanner of gezichtsherkenningscamera's "af te luisteren" en later zelf naar de TPM (of vergelijkbare secure enclave) te sturen, om zo de gebruikte encryptiesleutel uit de TPM naar die foute code te halen.

Ook is het, vooral onder Android en iOS/iPadOS, voor andere apps erg lastig (zo niet onmogelijk) om in het door de browser gebruike geheugen "in te breken" om zo de gebruikte encryptiesleutel te bemachtigen. Zoals ik eerder schreef, browser-extensies kunnen dat mogelijk wel, en ook browser-bugs (sandbox escapes) zouden ertoe kunnen leiden dat zelfs een foute webpagina de encryptiesleutel te pakken kan krijgen (naast de versleutelde database).

Maar datzelfde risico bestaat ook als browser-code jou om jouw master password vraagt, of erger, als een pop-up vanuit een website lijkt op een vanuit jouw browser komende vraag voor dat master password.

Ik begrijp niet waarom je dan met bovenstaande argumenten komt. En hoe voorkóm je dat je in phishing trapt (met een op de echte website lijkende nepsite, met een "zou-kunnen-zijn-van" of "niet-te onderscheiden-van" domeinnaam)?

In 2020 is een functionaliteit toegevoegd aan Firefox die er voor zorgt dat er een UAC prompt verschijnt. Die prompt verschijnt alleen als er administratorrechten in het spel zijn. Mijn stelling is dat die rechten niet nodig zijn voor het lezen van e-mail of het browsen van een webpagina ;-)


Ik denk dat die rescue code de AES sleutel is. Omdat die ook offline werkt. Met misschien wat encryptiemodi erbij gecodeerd. Deze rescue code staat in je Microsoft Account, daar heb ik nooit het nut van begrepen omdat je die sleutel niet online nodig hebt voor je beveiliging.


Sorry! Die uitspraak komt uit een van de links in het artikel van de redactie. Het is een uitspraak van Mozilla Firefox over de veiligheid van hun vingerafdruk query.


Bookmarks, VirusTotal, overtypen van een papieren brief, hangslotje controleren, mailtje een dag laten liggen als het verdacht is zodat de server neergehaald kan worden. Dat soort dingen. Telkens opnieuw als het moet.

Anoniem 19:54

In Windows gebruik ik een non-admin account voor alles waar ik geen admin-privileges voor nodig heb. In zo'n account krijg je geen UAC-popups (ook niet als ik bijv. regedit start), hooguit krijg ik de vraag of ik met een admin-account wil inloggen.

Als ik tijd en zin heb ga ik eens spelen met de wachtwoordmanager van Firefox. Overigens surf ik vooral met m'n Android smartphone; ik zag dat recentelijk "Passwords" was toegevoegd aan het Firefox "settings" menu (of er zijn nu icoontjes vóór gezet waardoor het mij eerder niet opviel).

Goed punt, suf van mij dat ik mij niet gerealiseerd heb dat die code ook moet werken als de TPM-chip is uitgefikt! Die code (die Microsoft overigens "Recovery code" noemt zag ik net in https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/faq) wordt ongetwijfeld door een KDF (Key Derivation Function) gehaald om de symmetrische sleutel te genereren (net zoals bijv. Veracrypt doet met mijn on-boot wachtwoord).

De reden daarvoor zijn mensen die deze sleutel niet opschrijven of vergeten waar dat was. Ik heb een collega gehad met een Dell notebook die af en toe, uit zichzelf, de TPM resette. Erg handig dan zo'n code (die wij wel zelf veilig bewaarden). Microsoft wil niet juridisch worden aangeklaagd door mensen die niet meer bij hun bestanden kunnen, daarom maken ze het steeds moeilijker om geen cloud-account te gebruiken (dat ze tevens willen vanwege vendor lock-in).

OK, ik herinner mij die zin (ongeveer) uit een oud Microsoft-artikel dat ik zo snel niet kan vinden.

Ah, jij bent niet Henk of Ingrid ;-)