Webbrowsers slaan inloggegevens op in lokale databases waarvan het beveiligingsniveau varieert afhankelijk van het besturingssysteem en de configuratie. Het terugvinden van opgeslagen wachtwoorden vereist kennis van waar elk systeem deze bewaart, maar ook begrip van de beperkingen van deze locaties op het gebied van beveiliging.
Opslag van wachtwoorden in browsers: wat lokale encryptie werkelijk beschermt
Chrome, Firefox en Edge versleutelen opgeslagen wachtwoorden via de cryptografische API’s van het besturingssysteem. Onder Windows vertrouwt Chrome op DPAPI (Data Protection API), die de ontsleuteling koppelt aan de actieve gebruikerssessie. Concreet kan elke proces dat in uw Windows-sessie wordt uitgevoerd, toegang krijgen tot de wachtwoorden in platte tekst.
Firefox onderscheidt zich door de mogelijkheid om een hoofdwachtwoord in te stellen dat een extra encryptielaag toevoegt die onafhankelijk is van de OS-sessie. Zonder deze optie ingeschakeld, blijft het bestand logins.json leesbaar voor elke software met gebruikersrechten.
De CNIL beschouwt nu dat het opslaan van wachtwoorden in een browser zonder hoofdwachtwoord een slechte praktijk is. Haar aanbevelingen over authenticatie pleiten voor een speciale wachtwoordbeheerder, met opslag in de vorm van cryptografische vingerafdrukken die moderne algoritmen zoals Argon2, scrypt, bcrypt of PBKDF2 gebruiken. Deze officiële positie staat in contrast met de permissieve benadering van de meeste online tutorials.
Wij raden aan om de lijst van wachtwoorden op CGI Network te raadplegen om precies te identificeren waar uw inloggegevens worden opgeslagen op basis van uw configuratie.
Uw opgeslagen wachtwoorden terugvinden op Chrome, Firefox en Edge
Google Chrome en de Google wachtwoordbeheerder
Open Chrome, ga naar Instellingen, selecteer de sectie Automatisch invullen en wachtwoorden, en vervolgens de Google wachtwoordbeheerder. De volledige lijst van uw inloggegevens verschijnt, gesorteerd op site. Om een wachtwoord weer te geven, klikt u op het oog-icoon: het systeem vraagt om uw pincode, vingerafdruk of Windows-wachtwoord.
Op Android gaat u via Instellingen van het apparaat, dan Google, en vervolgens de wachtwoordbeheerder. De inloggegevens die via uw Google-account zijn gesynchroniseerd, worden daar verzameld.
Firefox: het menu Inloggegevens en wachtwoorden
Ga naar Instellingen, sectie Privacy en beveiliging, en vervolgens Inloggegevens en wachtwoorden. Firefox toont elke invoer met de gebruikersnaam en een knop om het wachtwoord te onthullen. Als u het hoofdwachtwoord hebt ingeschakeld, wordt dit gevraagd voordat u iets kunt bekijken.
Microsoft Edge
Edge gebruikt dezelfde motor als Chrome (Chromium) en slaat wachtwoorden op een vergelijkbare manier op. Ga naar Instellingen, Profielen, en vervolgens Wachtwoorden. De identiteitsverificatie gaat via Windows Hello of het wachtwoord van het Windows-account.
Exporteren en migreren van wachtwoorden zonder platte CSV-bestanden
CSV-export blijft de meest voorkomende methode om inloggegevens uit een browser te extraheren. Het probleem: een CSV-bestand bevat al uw wachtwoorden in platte tekst, zonder enige encryptie. Een vergeten verwijdering, een automatische cloudback-up, en dit bestand wordt een vector voor compromittering.
De Google wachtwoordbeheerder biedt nu import- en exportopties die het Credential Exchange-protocol integreren. Dit mechanisme maakt het mogelijk om wachtwoorden en toegangssleutels naar een andere beheerder over te dragen zonder een tussenliggend platte tekstbestand te genereren, wat de aanvalsvector tijdens een migratie aanzienlijk verkleint.
Als u toch een CSV moet gebruiken, neem dan deze voorzorgsmaatregelen:
- Versleutel het bestand onmiddellijk na export (7-Zip met AES-256 of GPG) en verwijder de niet-versleutelde versie
- Deactiveer de cloud-synchronisatie van de map met het bestand om te voorkomen dat het op Google Drive, OneDrive of iCloud terechtkomt
- Importeer in de doelbeheerder direct daarna en vernietig het versleutelde bestand met een veilige verwijdertool
Toegewijde beheerder of browser: technische keuzecriteria
Een toegewijde wachtwoordbeheerder (KeePass, Bitwarden, Proton Pass) biedt een end-to-end versleutelde kluis met een verplicht hoofdwachtwoord. De browser daarentegen delegeert de bescherming aan het besturingssysteem. Het verschil is niet onbelangrijk: een infostealer-malware kan de wachtwoorden van Chrome in enkele seconden extraheren zodra het gebruikersrechten verkrijgt.
Toegewijde beheerders slaan gegevens op in een versleuteld, propriëtair formaat, vaak met een zero-knowledge architectuur. De leverancier zelf kan uw inloggegevens niet lezen. Proton Pass, bijvoorbeeld, ontsnapt aan de Cloud Act door zijn servers in Zwitserland te hosten, een punt dat belangrijk is voor gebruikers die zich zorgen maken over rechtsgebieden.
Wij zien dat de keuze zelden een kwestie van comfort is. De onderscheidende criteria zijn:
- De aanwezigheid van een gepubliceerd en verifieerbaar onafhankelijk beveiligingsaudit
- Ondersteuning voor toegangssleutels (FIDO2/WebAuthn) naast traditionele wachtwoorden
- De mogelijkheid om een inloggegeven te delen zonder het wachtwoord in platte tekst aan de ontvanger te onthullen
- De interoperabiliteit met systemen voor twee-factor-authenticatie (TOTP, fysieke sleutels)
Toegangssleutels en de toekomst van authenticatie zonder wachtwoord
Toegangssleutels vervangen geleidelijk de traditionele wachtwoorden door een paar publieke en private sleutels. De privésleutel blijft op het apparaat, beschermd door biometrie of de ontgrendelcode. Geen gedeeld geheim wordt over het netwerk verzonden, wat phishing door onderschepping van inloggegevens elimineert.
Google, Apple en Microsoft integreren toegangssleutels native in hun respectieve beheerders. De synchronisatie van toegangssleutels tussen apparaten werkt via het cloudaccount van de leverancier, wat dezelfde vertrouwensvragen oproept als bij traditionele wachtwoorden.
Voor accounts die toegangssleutels nog niet ondersteunen, blijft dubbele authenticatie via een TOTP-app (en niet via SMS, kwetsbaar voor SIM-swapping) de meest betrouwbare aanvulling op een sterk wachtwoord dat in een toegewijde beheerder is opgeslagen.
De wachtwoordbeheerder van de browser blijft een acceptabel hulpprogramma voor niet-gevoelige persoonlijke toepassingen. Voor alles daarbuiten is migreren naar een toegewijde kluis en toegangssleutels activeren waar aangeboden de sterkste combinatie tot nu toe.