Password Vault Overzicht
Password Vault is een persoonlijke wachtwoordbeheerder voor SharePoint Online en Microsoft Teams. Elke gebruiker bewaart eigen aanmeldgegevens in één versleuteld bestand in de eigen OneDrive. Dit artikel beschrijft de beveiligingslagen, de rol en beperkingen van de pincode, welke onderdelen versleuteld zijn en voor welke aanmeldgegevens het product bedoeld is. Het is bestemd voor eindgebruikers, beheerders en beveiligingsfunctionarissen die het product beoordelen.
Samenvatting
| Vraag | Antwoord |
|---|---|
| Waar staat de kluis? | In vitextra-password-vault.json, in de appmap van de eigen OneDrive |
| Wie kan het bestand openen? | Wie volgens Microsoft 365-machtigingen toegang heeft tot die OneDrive; standaard alleen de gebruiker |
| Welke identiteit wordt gebruikt? | De aangemelde Microsoft 365-gebruiker, via Microsoft Graph met de gedelegeerde machtiging Files.ReadWrite.AppFolder |
| Wat is versleuteld? | De tekstvelden van elk item: naam, gebruikersnaam, wachtwoord, URL, notities, map en tags (AES, in de browser, sleutel afgeleid uit de pincode) |
| Wat doet de pincode? | De sleutel wordt afgeleid uit de viercijferige code; vóór invoer toont het webonderdeel geen items |
| Wanneer wordt de code opnieuw gevraagd? | Na 5 minuten zonder interactie binnen het webonderdeel en na opnieuw laden |
| Wat gebeurt er bij onjuiste codes? | Na 5 opeenvolgende fouten wordt de kluis geblokkeerd; opnieuw instellen wist alle items |
| Wat ontvangt Vitextra? | Geen kluisgegevens; alleen technische identificatiegegevens voor licentiecontrole en gebruikstelemetrie |
Laag 1: Microsoft 365-aanmelding en OneDrive-toegangsbeheer
Password Vault heeft geen eigen accounts, servers of databases. Het webonderdeel draait in de browser van de aangemelde gebruiker en leest en schrijft via Microsoft Graph onder diens identiteit. Het bestand staat in de eigen OneDrive en wordt beschermd zoals andere bestanden daar: met Microsoft 365-aanmelding (inclusief meervoudige verificatie en voorwaardelijke toegang indien gebruikt), OneDrive-machtigingen en het Microsoft 365-beleid van uw organisatie.
Password Vault vraagt de gedelegeerde machtiging Files.ReadWrite.AppFolder aan voor de appmap van de aangemelde gebruiker. Deze machtiging geeft geen toegang tot diens overige bestanden of de OneDrive van een andere gebruiker. SPFx-oplossingen gebruiken een gedeelde toepassingsidentiteit; beheerders moeten daarom ook rekening houden met andere machtigingen die aan die identiteit zijn verleend. KB10454. Microsoft Graph-machtiging Files.ReadWrite.AppFolder: waarom Password Vault deze nodig heeft en hoe u deze goedkeurt
De kluis staat in de OneDrive van de gebruiker, niet op de pagina. Elke gebruiker van dezelfde pagina of hetzelfde Teams-tabblad ziet daarom alleen de eigen kluis. Plaatsing op een gedeelde pagina deelt geen wachtwoorden.
Laag 2: versleuteling van items in de browser
Vóór opslaan versleutelt Password Vault de tekstvelden met AES. Versleuteling en ontsleuteling gebeuren in de browser; het bestand gaat alleen via Microsoft Graph tussen browser en eigen OneDrive. Deze waarden worden dus niet als leesbare tekst opgeslagen of verzonden: wie het bestand opent, ziet versleutelde tekenreeksen in plaats van namen, gebruikersnamen en wachtwoorden.
De sleutel wordt in de browser uit de pincode afgeleid met PBKDF2-SHA256 (Web Crypto), willekeurig zout van 16 bytes en 600.000 iteraties. Bij instellen of wijzigen ontstaat nieuw zout. De sleutel wordt nergens opgeslagen: niet in het kluisbestand, de browseropslag of bij Vitextra. Deze bestaat alleen in het geheugen van de geopende pagina terwijl de kluis ontgrendeld is. Om een code te controleren leidt het webonderdeel de sleutel af en ontsleutelt een controlewaarde: bekende tekst, versleuteld met de sleutel, die samen met zout en iteratieaantal in het bestand staat. Noch de code noch een hash ervan wordt opgeslagen. Het bestand alleen volstaat dus niet om de items te lezen: de code is nodig.
❗ Belangrijk
Vier cijfers geven slechts 10.000 mogelijke combinaties. PBKDF2 vertraagt elke poging, maar wie een kopie van het bestand bemachtigt, kan alle codes offline proberen, buiten het webonderdeel. De limiet van vijf pogingen geldt alleen binnen het webonderdeel. OneDrive-toegangsbeheer blijft daarom de eerste bescherming. Beveilig uw Microsoft 365-account en deel het kluisbestand of de map niet.
Wat wel en niet versleuteld is
| Gegeven in het kluisbestand | Versleuteld |
|---|---|
| Naam van het item | Ja |
| Gebruikersnaam | Ja |
| Wachtwoord | Ja |
| URL | Ja |
| Notities | Ja |
| Map | Ja |
| Tags | Ja |
| Favorietmarkering (ster) | Nee |
| Item-id’s, aanmaak- en wijzigingsdatums | Nee |
| Zout, iteratieaantal en controlewaarde (voor codecontrole) | Zout en iteratieaantal: nee; de controlewaarde is bekende tekst versleuteld met de sleutel. De code, hash en sleutel worden niet opgeslagen |
| Microsoft Entra ID-object-id van de gebruiker | Nee |
| Teller voor mislukte pogingen | Nee |
Kluisgegevens worden niet opgeslagen in SharePoint-lijsten, webonderdeeleigenschappen of permanente browseropslag. Zolang de kluis ontgrendeld is, staan de sleutel en ontsleutelde waarden in het geheugen van de geopende pagina. Configuratie-instellingen en de licentiecache staan los van de kluisgegevens.
Bestaande kluizen worden automatisch bijgewerkt
Oudere kluizen gebruiken een bestandsindeling waarin de sleutel werd afgeleid uit een opgeslagen SHA-256-hash van de pincode en de Microsoft Entra ID-object-id. Na de eerste juiste code in de nieuwe versie versleutelt het webonderdeel alle items opnieuw met een via PBKDF2 afgeleide sleutel en slaat de nieuwe indeling op. Items en wijzigingsdatums blijven behouden; de pogingenteller wordt gewist. U hoeft niets te doen. Daarna staat de pincodehash niet meer in het bestand.
De upgrade wordt alleen voltooid als alle items kunnen worden ontsleuteld en het bijgewerkte bestand met succes wordt opgeslagen. Bij een fout kan de huidige sessie de oude indeling blijven gebruiken; ontgrendelen alleen bevestigt geen geslaagde upgrade.
📝 Opmerking
Alleen het huidige bestand wordt bijgewerkt. Oudere versies in OneDrive-versiegeschiedenis, prullenbak of back-ups houden de oude indeling, waarbij ontsleuteling uit het bestand zelf mogelijk was zonder code. OneDrive-toegangsbeheer en het bewaar- en back-upbeleid bepalen wie deze kan openen.
Laag 3: de pincode en de vergrendelde kluis
De gebruiker stelt de viercijferige code in bij het aanmaken van de kluis (zie KB10442. Uw pincode instellen in Password Vault). Deze is eenmaal nodig om te openen en wordt na het vierde cijfer gecontroleerd. Tot dan is de kluis vergrendeld en verschijnen geen items, zelfs geen namen. Voer de pincode in met Voer uw pincode in om door te gaan en vier vakken vervangt de lijst. De werkbalk biedt alleen Vernieuwen.
| Handeling | Beschikbaar bij vergrendeling |
|---|---|
| Lijst met naam, gebruikersnaam, URL, map, tags en notities bekijken | Nee, verborgen |
| Wachtwoord tonen (oog) of Naar Klembord kopiëren voor wachtwoord of gebruikersnaam | Nee |
| Nieuw item, Bewerken, Verwijderen | Nee |
| Pincode wijzigen (tandwiel Configureren) | Nee |
| Toevoegen aan favorieten / Verwijderen uit favorieten | Nee |
| Zoeken en filter | Nee |
| Vernieuwen | Ja |
Na een juiste code is de kluis ontgrendeld en werken deze handelingen direct zonder opnieuw om de code te vragen, tot de volgende vergrendeling.
❗ Belangrijk
Iedereen die uw computer gebruikt kan bij een ontgrendelde kluis alle inhoud, inclusief wachtwoorden, tonen en kopiëren tot de volgende vergrendeling. Vergrendel uw computer als u wegloopt.
Bij Voer de pincode in worden cijfers gemaskeerd. Op Pincode instellen en Pincode wijzigen blijven ze zichtbaar. Stel of wijzig de code dus waar niemand meekijkt.
Automatische vergrendeling
Na laden is de kluis vergrendeld en verschijnt alleen Voer de pincode in. Na een juiste code blijft deze open zolang u werkt. Na 5 minuten zonder klik of toetsaanslag binnen het webonderdeel (ook Pincode wijzigen telt mee) vergrendelt deze: de lijst en zichtbare wachtwoorden verdwijnen, de sleutel wordt uit het geheugen verwijderd en alle vensters (Nieuw item, Eigenschappen bewerken, verwijderbevestiging) sluiten zonder opslaan. Opnieuw laden vergrendelt ook, omdat de ontgrendelde toestand alleen in de geopende pagina bestaat. Zie KB10451. Automatische vergrendeling: wanneer Password Vault opnieuw om de pincode vraagt.
Limiet voor mislukte pogingen
De teller wordt niet na verloop van tijd gewist. Het webonderdeel toont De pincode is onjuist en het aantal resterende pogingen. Als het opslaan lukt, wordt de teller in het kluisbestand opgeslagen en tellen pogingen op verschillende apparaten en in verschillende sessies bij elkaar op. Een juiste pincode of een wijziging van de pincode zet de teller op nul; ook dit resultaat moet met succes in het bestand worden opgeslagen. Als het bestand niet kan worden gelezen of de teller niet kan worden opgeslagen, kan de pagina eerder geladen gegevens gebruiken en een mislukte poging alleen lokaal tellen. Herstel de verbinding en vernieuw de gegevens voordat u verdergaat. Na 5 opeenvolgende onjuiste pincodes wordt de kluis geblokkeerd met U hebt te vaak een onjuiste pincode ingevoerd. Alleen Opnieuw instellen is dan beschikbaar. Zie KB10455. Onjuiste pincodes in Password Vault: wat er gebeurt na vijf mislukte pogingen.
❗ Belangrijk
Als de kluis nog is ontgrendeld, kunt u de pincode wijzigen zonder de oude code in te voeren. Rond de wijziging af en sla deze op voordat de kluis wordt vergrendeld; bij succesvol opslaan blijven de items behouden. Als alle sessies zijn vergrendeld en u de pincode bent vergeten, biedt Password Vault geen herstelfunctie voor u, uw beheerder of Vitextra. Het opnieuw instellen van een geblokkeerde kluis verwijdert alle items. Bewaar belangrijke aanmeldgegevens ook op een andere, door uw organisatie goedgekeurde plaats. KB10460. Pincode van Password Vault vergeten: wat kunt u doen?
Geen kluisgegevens bij Vitextra
Vitextra ontvangt, bewaart of back-upt geen kluisgegevens. Alleen licentiecontrole en gebruikstelemetrie met technische identificatiegegevens gaan naar Vitextra-diensten. Zie de volledige lijst in KB10363. Waar Vitextra-producten uw gegevens opslaan: privacy, gegevenslocatie en AVG.
Waarvoor Password Vault bedoeld is
Password Vault biedt een handige persoonlijke plaats voor dagelijkse aanmeldgegevens: webportalen, partnersystemen, testaccounts en vergelijkbare gegevens die anders in een notitieboek of tekstbestand zouden staan. Microsoft 365-toegangsbeheer wordt gecombineerd met versleuteling via een sleutel afgeleid uit een viercijferige code.
Het is geen systeem voor beheer van geprivilegieerde toegang: er is geen delen tussen gebruikers, beheerdersherstel, eigen auditlogboek of sterk hoofdwachtwoord. Volg voor beheeraccounts, serviceaccounts, gedeelde teamaccounts en andere zeer gevoelige geheimen het organisatiebeleid en gebruik de voorgeschreven hulpmiddelen. Zie KB10440. Password Vault, browserwachtwoordbeheerders en zakelijke wachtwoordbeheerders: welke oplossing kiest u?.
Aanbevelingen
- Beveilig uw Microsoft 365-account: de kluis is afhankelijk van de veiligheid van het OneDrive-account.
- Kies een moeilijk te raden code, vermijd 0000, 1234 en uw geboortejaar, en bewaar deze veilig.
- Deel of kopieer het bestand niet: iemand kan met een kopie alle 10.000 codes offline proberen.
- Vergrendel uw computer, ook als u maar even wegloopt.
- Een gekopieerd wachtwoord blijft op het klembord tot u iets anders kopieert; wis dit na gebruik op gedeelde computers.
- Wijzigingen op meerdere apparaten of tabbladen worden automatisch op het nieuwste bestand toegepast. Klik op Vernieuwen om wijzigingen elders te zien (zie KB10453. Waar Password Vault uw wachtwoorden opslaat: de OneDrive-app-map). Bij gelijktijdige bewerking van hetzelfde item geldt de laatst opgeslagen versie van dat item.
- Bewaar alleen aanmeldgegevens die volgens uw organisatie in een persoonlijke wachtwoordbeheerder mogen staan.
💡 Tip
Zie KB10456. Wie uw wachtwoorden in Password Vault kan zien voor wie toegang kan hebben.
