KeePass: AES-256 gecodeerde database en sleutelbestandinstallatie

Als je tientallen accounts en services beheert, weet je dat je geheugen dat niet altijd aankan; daarom is een manager zoals KeePass goud waard. Het centraliseert je wachtwoorden in een versleutelde database en je hebt maar één 'sleutel' nodig om de kluis te openen: je hoofdwachtwoord (en optioneel een sleutelbestand).

In deze handleiding hebben we de meest nuttige en actuele informatie uit verschillende bronnen verzameld, zodat u alles op één plek hebt. U leert hoe u KeePass (en het bijbehorende ecosysteem) installeert, configureert en optimaal benut , hoe u KDF beveiligt (AES-KDF en Argon2), wanneer u een sleutelbestand moet gebruiken, hoe u gegevens importeert vanuit Excel/Chrome, hoe u veilig synchroniseert en wat u op mobiele apparaten kunt doen. Daarnaast vindt u tips en trucs zoals AutoType, een veilige desktopomgeving, triggers en meer.

Wat is KeePass en hoe beschermt het uw database?

KeePass is een gratis en open-source wachtwoordmanager die al uw inloggegevens opslaat in een beveiligd .kdbx-bestand. De database is end-to-end versleuteld en kan alleen worden geopend met een door u gedefinieerde combinatie: hoofdwachtwoord, sleutelbestand en/of uw Windows- account (de laatste optie is niet de meest flexibele).

Wat betreft encryptie ondersteunt KeePass 2.x AES-256 (Rijndael), ChaCha20 en Twofish , allemaal veelvuldig gecontroleerde algoritmen. Het valideert de integriteit ook met HMAC-SHA-256 (Encrypt-then-MAC-schema), waardoor manipulatie zonder uw medeweten wordt voorkomen.

Naast schijfversleuteling beschermt het programma het geheugen tijdens de uitvoering met behulp van DPAPI op Windows (of ChaCha20 wanneer DPAPI niet beschikbaar is) en verwijdert het gevoelige gegevens wanneer deze niet langer nodig zijn. Gebruikersnamen en URL's worden niet in platte tekst in het bestand weergegeven; al die inhoud is ook versleuteld.

Een belangrijk detail is de sleutelafleiding voorafgaand aan de versleuteling van de inhoud: eerst worden de ontgrendelingsfactoren (wachtwoord/sleutelbestand/etc.) gemengd met SHA-256 om K te verkrijgen; vervolgens wordt K getransformeerd met een KDF om het raden ervan kostbaar te maken.

Installatie op Windows, Linux, macOS en mobiel

Op een desktopcomputer kunt u het programma downloaden van de officiële website en kiezen tussen de installatieversie of de draagbare versie. De Professional 2.x-editie is de meest complete (plug-ins, aangepaste velden, openen via URL, geavanceerde synchronisatie, enz.). Versie 1.x is nog steeds beschikbaar, maar is beperkter.

In Windows is de wizard hetzelfde als altijd: taal, licentie, pad, componenten en extra taken. Je kunt de updatecontrole inschakelen om op de hoogte te blijven van beveiligings- en prestatieverbeteringen.

Er is geen officiële mobiele app, maar er zijn uitstekende clients: Keepass2Android en KeePassDroid springen eruit op Android ; Strongbox en KeePassium op iOS . Hiermee kun je .kdbx-bestanden openen, automatisch invullen integreren, Face ID/vingerafdrukauthenticatie gebruiken en TOTP toepassen.

Als je de voorkeur geeft aan een native, platformonafhankelijke ervaring met een moderne interface, kijk dan eens naar KeePassXC , een fork van KeePass gericht op Linux/macOS/Windows die onder andere browserintegratie en TOTP toevoegt.

Uw eerste database aanmaken: beveiliging en opties

Bij het aanmaken van het .kdbx-bestand vraagt ​​KeePass u om de ontgrendelingsmethode te definiëren . De meest evenwichtige optie is een sterk hoofdwachtwoord . Wilt u de beveiliging verhogen, dan kunt u een sleutelbestand op een apart apparaat opslaan.

Uw hoofdwachtwoord moet lang en onvoorspelbaar zijn; een lange zin werkt erg goed. Vermijd patronen en hergebruik wachtwoorden , en bewaar het niet op een plek waar het in verkeerde handen kan vallen. U kunt een noodback-up afdrukken, maar bewaar deze veilig.

Kies bij "Beveiliging" voor versleuteling (AES-256 of ChaCha20) en KDF. Met AES-KDF kunt u het aantal iteraties aanpassen (meer = langzamere aanval), en Argon2 voegt geheugenafhankelijke beveiliging toe tegen GPU/ASIC-aanvallen. Stel de "vertraging van 1 seconde" in als referentie voor uw systeem.

Andere handige tabbladen: "Compressie" (GZip heeft nauwelijks invloed en is zelfs nuttig), "Prullenbak" (voorkomt fatale verwijderingen) en "Geavanceerd" (geschiedenis, maximale groottes, herinneringen om de hoofdsleutel te wijzigen , enz.).

Sla uw eerste inloggegevens op en gebruik ze

KeePass maakt standaardgroepen aan (Internet, E-mail, Windows, enz.) die u kunt aanpassen. Om een ​​item toe te voegen , gebruikt u 'Item toevoegen' en vult u de titel, gebruikersnaam, wachtwoord (u kunt er zelf een genereren), URL en notities in.

Om een ​​wachtwoord te gebruiken, hebt u verschillende opties: dubbelklikken om het tijdelijk naar het klembord te kopiëren (het verloopt na enkele seconden), het item openen en weergeven, of Auto-Type gebruiken om KeePass de gebruikersnaam/het wachtwoord in het actieve venster te laten typen met een toetsencombinatie.

Als een inlogformulier extra velden bevat, pas dan de Auto-Type-volgorde per invoer aan (bijvoorbeeld {GEBRUIKERSNAAM}{TAB}{WACHTWOORD}{TAB}{ENTER} ). Er is ook "Tweekanaals Auto-Type-obfuscatie" beschikbaar om eenvoudige keyloggers te omzeilen.

Een handige truc: "URL Scheme Overrides". Hiermee kunt u programma's zoals PuTTY of MSTSC starten met parameters en inloggegevens rechtstreeks vanuit de invoer, of URL's openen met uw favoriete browser met behulp van het schema.

Importeren vanuit Excel en Google Chrome

Als je een Excel-bestand gebruikt, converteer het dan eerst naar CSV met het juiste scheidingsteken (meestal een puntkomma op lokale systemen). Gebruik de "Generieke CSV-importeur ", koppel kolommen aan KeePass-velden en bekijk een voorbeeld voordat je de wijzigingen opslaat. Daarna kun je de gegevens in groepen ordenen.

Exporteer vanuit Chrome wachtwoorden naar een CSV-bestand (let op: ze blijven onversleuteld zolang ze bestaan). Ga in KeePass naar 'Importeren' → selecteer het formaat 'Google Chrome Passwords CSV' , kies het bestand en klaar. Vergeet niet het CSV-bestand veilig te verwijderen, ook uit de prullenbak.

Encryptie, KDF en parameters: AES‑256, ChaCha20, Twofish, AES‑KDF en Argon2

KeePass-encryptie beschermt alle inhoud (gebruikers, URL's, notities, bijlagen) met AES-256, ChaCha20 of Twofish . De CBC-modus en een willekeurige IV per opgeslagen bestand voorkomen dat er patronen tussen kopieën ontstaan.

Vóór de encryptie wordt de samengestelde sleutel met behulp van SHA-256 gereduceerd tot 256 bits, waarna een KDF wordt toegepast. AES-KDF schaalt lineair met het aantal iteraties (eenvoudig af te stemmen, minder bestand tegen GPU-belasting). Argon2 biedt geheugenintensieve robuustheid en configureerbare parallelisatie.

Argon2d of Argon2id? KeePass geeft de voorkeur aan Argon2d voor bescherming tegen GPU-/ASIC-aanvallen aan de clientzijde . Argon2id is een hybride oplossing die ook bescherming biedt tegen side-channel-aanvallen; als je de basisversie gebruikt op gedeelde of onbetrouwbare apparaten, is Argon2id wellicht een evenwichtige keuze.

Praktische tip: Stel de "1 seconde" bypass- knop in op uw hoofdapparaat en controleer of de tijd acceptabel is op uw andere apparaten (inclusief uw mobiele telefoon). Als u 1-2 seconden per opening kunt toestaan, is dat nog beter.

Keyfile vs. hoofdwachtwoord: welke is het juiste en hoe gebruik je het?

Een sleutelbestand voegt een tweede, offline beveiligingsfactor toe die een aanvaller niet kan raden met behulp van een woordenboek. Het is sterker dan een wachtwoord alleen , maar er is wel een risico aan verbonden: als u het kwijtraakt of als er zelfs maar één bit verandert, hebt u geen toegang meer tot uw kluis.

Aanbevolen werkwijzen voor sleutelbestanden: bewaar ze op een apart apparaat (USB-stick) , maak versleutelde kopieën, upload ze niet naar dezelfde cloudservice als het .kdbx-bestand en vermijd voor de hand liggende paden. Bewaar ze op mobiele apparaten in het versleutelde interne geheugen van het systeem , niet op de SD-kaart.

Een sleutelbestand als enige authenticatiefactor? Dat is mogelijk, maar het vermindert de fouttolerantie. De combinatie van een hoofdwachtwoord en een sleutelbestand biedt gelaagde beveiliging en stelt u in staat om te blijven inloggen, zelfs als een kopie van het sleutelbestand defect raakt.

Wat betreft de grootte: KeePass .key-bestanden zijn bewust klein; hun effectieve entropie hangt niet af van de grootte in KB , maar van de willekeurige bits. Je hoeft het bestand niet "10 KB" te maken om het veilig te laten zijn.

Synchronisatie en back-up: cloud, WebDAV/FTP, USB en triggers

Je kunt het .kdbx-bestand opslaan op services zoals Drive, Dropbox, OneDrive, iCloud of een WebDAV/FTP-server . Het bestand is end-to-end versleuteld , waardoor de inhoud van je cloudopslag niet zichtbaar is zonder de samengestelde sleutel.

Risico's en maatregelen: Gebruik tweefactorauthenticatie (2FA) in de cloud, deel geen links en overweeg een ZIP-bestand te versleutelen met een andere sleutel als u meerdere databases/bijlagen transporteert. Vermijd het gelijktijdig bewerken van dezelfde database op twee apparaten.

Als je liever niet afhankelijk bent van internet, is een USB-stick met de draagbare versie en het basisstation erg praktisch. KeePass biedt de mogelijkheid om apps te openen via een URL en plugins zoals KeeCloud/Sync voor S3/Dropbox, maar configureer dit wel zorgvuldig.

Automatiseer taken met het 'Triggers'-systeem: bij het opslaan kunt u een kopie exporteren , een synchronisatie starten of scripts uitvoeren. Dit is handig voor het bijhouden van een geschiedenis of het verzenden van back-ups naar een veilige locatie.

Geavanceerde functies: Veilig bureaublad, geheugen, willekeur en automatisch typen

Schakel het hoofdsleutelvak in bij “Beveiligd bureaublad” (Extra → Opties → Beveiliging) om het risico van keyloggers bij ontgrendelsessies te minimaliseren; het is uitgeschakeld voor compatibiliteitsdoeleinden.

Om betrouwbare inloggegevens te genereren, verzamelt KeePass systeementropie (tijden, bewegingen, GUID, enz.) en gebruikt het een CSPRNG gebaseerd op SHA-256/SHA-512 en ChaCha20 . Voeg desgewenst handmatig entropie toe.

In het geheugen versleutelt de applicatie gevoelige gegevens en verwijdert deze wanneer ze niet langer nodig zijn, gebruikmakend van DPAPI/ProtectedMemory in Windows. Als u echter een wachtwoord op het scherm weergeeft of kopieert, kan het besturingssysteem tijdelijke kopieën bewaren.

De "Auto-Type"-integratie bespaart typwerk en vermindert fouten; het past sequenties per service aan , voegt vertragingen toe ({DELAY 1000}) en gebruikt tweekanaalsversleuteling indien beschikbaar. U kunt ook RDP/SSH-verbindingen starten met behulp van sjablonen.

KeePass op mobiel en ondersteunde varianten

Op Android openen KeePass2Android en KeePassDroid .kdbx-bestanden met Argon2/AES-KDF, genereren ze wachtwoorden, integreren ze automatisch invullen en kunnen ze synchroniseren met de cloud . Op iOS ondersteunen Strongbox en KeePassium Face ID/Touch ID, TOTP en iCloud/Bestandenopslag.

KeePassium onderscheidt zich door de gratis modus met essentiële functies en een Premium-optie voor extra's. Beide platforms bieden geïntegreerde TOTP , waarmee je de herstelzin kunt opslaan en tijdelijk codes kunt genereren zonder afhankelijk te zijn van een andere app.

Verschillen tussen KeePass 1.x en 2.x

De 1.x-versie is lichtgewicht, maar mist functionaliteit: geen volledige Unicode, geen URL-opening of -synchronisatie , beperkte afdrukmogelijkheden en minder uitbreidbaarheid. 2.x voegt aangepaste velden, plug-ins, geavanceerde automatische invoer en betere platformonafhankelijke ondersteuning toe (via Mono/.NET).

Beide versies zijn draagbaar, open source en maken gebruik van robuuste encryptie. Als je vandaag begint, kies dan voor 2.x, tenzij je een zeer specifieke reden hebt om 1.x te gebruiken.

KeePassXC: cross-platform lokaal alternatief

KeePassXC gebruikt het .kdbx-formaat en maakt het compatibel met Linux/macOS/Windows. Het biedt browserintegratie (Chrome/Firefox/Edge), TOTP en een modernere interface. Standaard werkt het offline , maar je kunt synchroniseren met je gebruikelijke cloudservice door het .kdbx-bestand op te slaan.

Het typische proces is eenvoudig: een database aanmaken, een sterke hoofdsleutel definiëren , browserintegratie activeren, gegevens toevoegen en, indien gewenst, TOTP in hetzelfde record opslaan om 2FA-aanmeldingen te voltooien.

Voor- en nadelen en alternatieven van het ecosysteem

Voordelen van KeePass: controleerbare beveiliging, draagbaarheid, flexibele plug-ins , geen afhankelijkheid van een centrale server en geavanceerde automatiserings- en integratiemogelijkheden.

Nadelen: een kale interface, geen ingebouwde synchronisatie (hoewel eenvoudig via de cloud) en meer opties betekenen een steilere leercurve dan gesloten "alles-in-één"-oplossingen.

Populaire alternatieven zijn onder andere 1Password, Keeper, Enpass, Bitwarden en LastPass . Deze bieden geïntegreerde cloudopslag en een gebruiksvriendelijke interface, in ruil voor het uitbesteden van de opslag aan derden of het hanteren van betaalde modellen.

Probleemoplossing en goede praktijken

Als de database niet opent, controleer dan de hoofdletters, het juiste sleutelbestand en, als u een Windows-account hebt gebruikt, of uw SID/sleutels niet zijn gewijzigd. Herstel is niet mogelijk zonder de juiste informatie.

Maak regelmatig back-ups van het .kdbx-bestand en het sleutelbestand; sluit KeePass af voordat u het programma afsluit en vermijd gelijktijdige bewerkingen. Gebruik de prullenbak van de database om schade door onbedoelde verwijderingen te minimaliseren.

Beperk bij het afdrukken welke velden in platte tekst worden afgedrukt en vereis een hoofdwachtwoord voor het afdrukken. Laat geëxporteerde CSV-bestanden nooit onbeheerd achter ; verwijder ze veilig na het importeren.

Realistisch scenario: Kan mijn clouddatabase gehackt worden?

Stel dat iemand je .kdbx-bestand steelt van een WebDAV-server of je cloud. Als je Argon2 gebruikt met een afleidingstijd van ongeveer 1 seconde en een hoofdsleutel zoals een lange zin of meer dan 25 willekeurige tekens, is een GPU/ASIC-aanval momenteel onpraktisch.

Het zwakke punt zijn meestal korte of voorspelbare hoofdwachtwoorden. Een echt sterk wachtwoord + een goed beveiligd KDF-bestand + (optioneel) een sleutelbestand op een apart apparaat maakt de aanvalstijd van "misschien" naar "onredelijk".

Het blijven maken van back-ups naar de cloud is gerechtvaardigd als u tweefactorauthenticatie (2FA) implementeert, geen links deelt en een hoge KDF (Knowledge Failure Rate) handhaaft. Wie zich zorgen maakt over extreme scenario's kan dit combineren met een extra versleutelde container of alleen versleutelde USB als synchronisatiekanaal gebruiken.

Een belangrijk punt is dat een woordenboek nutteloos is als je zoekterm/trefwoord niet correleerbaar is, en KDF vertraagt ​​elke poging. De investering die nodig is om een ​​gevestigde basis te kraken, schiet omhoog.

Voordat u begint, neem de tijd om uw back-upbeleid (lokaal en extern), uw KDF-configuratie en of u een sleutelbestand als tweede authenticatiefactor wilt gebruiken, te definiëren . De werkelijke beveiliging van uw kluis hangt af van deze combinatie.

Met KeePass hebt u volledige controle over het veilig, draagbaar en naar uw eigen wens beheren van wachtwoorden. Met een paar verstandige instellingen (AES-256/ChaCha20, een correct gekalibreerde Argon2, een lange hoofdsleutel en, indien nodig, een sleutelbestand) , naadloze import vanuit Excel/Chrome, de functie 'Automatisch typen' ingeschakeld en zorgvuldige back-ups, beschikt u over een robuuste en handige kluis op zowel uw pc als uw mobiele apparaat.