Proton Pass of LastPass: wat u kunt controleren

Waarop wij deze twee vergelijken

Bij een wachtwoordmanager draait alles om vertrouwen, en vertrouwen laat zich toetsen. Drie dingen kunt u niet zomaar zelf nagaan, en juist die zetten wij naast elkaar: is de broncode openbaar, is de dienst extern geaudit, en hoe gedroeg de aanbieder zich toen het misging. Op alle drie is Proton Pass te controleren. Bij LastPass moet u meer op het woord van het bedrijf afgaan.

De prijs- en beveiligingspagina's van lastpass.com laadden hun gegevens niet uit toen wij ze opvroegen. Wat wij over LastPass melden, komt daarom uit de eigen blogberichten van het bedrijf en uit zijn openbare GitHub-organisatie. Wat Proton Pass precies biedt, staat in ons overzicht van Proton Pass; de brede vergelijking vindt u in de beste wachtwoordmanager voor Nederland.

Is LastPass nog veilig na het datalek van 2022?

Dat hangt vooral af van uw hoofdwachtwoord. De gestolen wachtwoorden zelf waren versleuteld met een sleutel die uit dat hoofdwachtwoord wordt afgeleid, en dat wachtwoord kent LastPass niet. 5 Wie een lang en uniek hoofdwachtwoord had, zit dus een stuk veiliger dan wie een korte of hergebruikte koos.

De aanvaller nam alleen wel meer mee dan versleutelde velden. In augustus 2022 kreeg iemand toegang tot de ontwikkelomgeving van LastPass. Met informatie uit die inbraak kopieerde dezelfde partij later, uit een externe cloudopslag, back-ups met namen, e-mailadressen, telefoonnummers, factuuradressen, IP-adressen en de kluisdata. Gebruikersnamen en wachtwoorden daarin waren versleuteld, de website-adressen niet. 5 Wie de buit bezit, ziet dus zonder iets te kraken op welke sites iemand een account heeft. LastPass waarschuwde zijn klanten zelf voor raadpogingen op het hoofdwachtwoord, voor phishing en voor credential stuffing. 5

Of gestolen kluizen daarna echt zijn opengebroken, kunnen wij niet vaststellen, dus dat beweren wij niet. Gebruikte u LastPass in 2022 met een kort of hergebruikt hoofdwachtwoord, behandel uw wachtwoorden dan alsof ze op straat liggen; de stappen staan in wachtwoord gestolen: wat u nu doet.

Waarom open code het verschil maakt

Proton Pass is open source. De code van de browserextensies en van de apps voor iOS en Android staat op GitHub, zodat iedereen kan nakijken of de software doet wat de maker belooft. 1 Dat blijft geen theorie: Cure53 onderzocht in mei en juni 2023 de mobiele apps, de extensies en de API. De meeste bevindingen waren van beperkte ernst en zijn verholpen, op één middelzwaar Android-punt na dat door een beperking van het platform bleef staan. 1 Tussen januari en april 2026 nam Recurity Labs ook de desktop-apps en de command-line-versie onder handen: geen op afstand uitbuitbare lekken, en geen manier om de versleuteling te omzeilen. 2

Bij LastPass kunt u die controle van buitenaf niet doen. De openbare GitHub-organisatie van het bedrijf bevat hulpprogramma's, zoals een command-line-client en koppelingen voor bedrijfssoftware, maar niet de code van de wachtwoordapps of de browserextensies zelf. 4 U bent dus aangewezen op wat LastPass over zijn eigen beveiliging naar buiten brengt. Een audit blijft ook bij Proton een momentopname, maar het verschil is dat u daar zowel het rapport als de code kunt inzien.

Wat LastPass wél goed doet

Twee dingen staan vast, uit LastPass' eigen berichten. Sinds 2018 eist de dienst hoofdwachtwoorden van minstens twaalf tekens, versterkt met 100.100 PBKDF2-herhalingen. Dat maakt het kraken van een buitgemaakte kluis fors trager. 5 Wie zo'n sterk hoofdwachtwoord koos, liep in 2022 dan ook minder risico dan de krantenkoppen deden vermoeden.

De gratis versie is het zwakke punt. Sinds 16 maart 2021 werkt LastPass Free op één apparaattype: computers óf mobiele apparaten, niet allebei. 6 Proton Pass zet synchronisatie tussen apparaten juist voorop en geeft ook gratis onbeperkt inloggegevens en tien e-mailaliassen. 3

Waar Proton Pass minder sterk is

Eerlijk is eerlijk: Proton Pass is jong. De wereldwijde lancering was op 28 juni 2023. 7 Een kort bestaan betekent minder jaren waarin buitenstaanders fouten konden vinden, ook al vulden twee audits dat gat deels op. En wie mail, aliassen én wachtwoorden allemaal bij Proton onderbrengt, maakt zich afhankelijker van één aanbieder. Hoe Proton Pass zich houdt tegenover de open-sourceconcurrent Bitwarden, leest u in Proton Pass vs Bitwarden.

Overstappen kost een paar minuten

Zit u nu bij LastPass, dan hoeft dat u niet tegen te houden. Proton Pass leest een LastPass-kluis rechtstreeks in. 8

U exporteert de kluis als csv-bestand en laadt dat via de importfunctie van de Proton Pass-extensie. De volledige stappen staan in wachtwoorden importeren in Proton Pass.