Cybersecurity 
Toonaangevende distributeurs van Managed Service Providers (MSP's) voegen niet zomaar identiteitstools toe aan hun aanbod. Ze geven een nieuwe invulling aan de criteria voor samenwerking binnen
Gepubliceerd op juni 24, 2026
Wachtwoordbeheerders behoren tot de meest nuttige beveiligingstools die beschikbaar zijn en bieden een sterke wachtwoordgeneratie en versleutelde opslag van aanmeldingsgegevens. Aanvallers richten zich echter steeds vaker op wachtwoordbeheerders door misbruik te maken van het apparaatregistratieproces. Dit is het proces waarmee een nieuw apparaat wordt geverifieerd en goedgekeurd voordat het toegang krijgt tot de kluis van een gebruiker. Door de eenmalige wachtwoorden (OTP’s) die deze stap beveiligen te kraken met brute-force-aanvallen, kunnen aanvallers ongeautoriseerde apparaten registreren en kopieën van versleutelde kluizen downloaden.
Dit is wat er in mei 2026 bij Dashlane gebeurde: aanvallers voerden brute-force-aanvallen uit op de zescijferige codes die werden gebruikt om nieuwe apparaten te registreren, voegden ongeautoriseerde apparaten toe aan minder dan 20 accounts en downloadden kopieën van de kluizen van die gebruikers. De versleuteling zelf is nooit gekraakt, maar de kwetsbaarheid zat in de manier waarop nieuwe apparaten werden goedgekeurd. Brute-force-aanvallen waarbij de apparaatregistratie van wachtwoordbeheerders het doelwit is, vormen een toenemende cyberbedreiging. Deze zijn echter niet effectief tegen de zero-trust- en zero-knowledge-architectuur van Keeper, die ervoor zorgt dat het kennen van een wachtwoord nooit voldoende is om een apparaat te registreren en toegang te krijgen tot een kluis.
Hoe brute-force-aanvallen bij apparaatregistratie werken
Wanneer u een nieuw apparaat toevoegt aan een wachtwoordbeheerder, moet de serviceprovider verifiëren dat het apparaat van u is voordat deze u toegang tot uw kluis verleent. Deze bevestigingsstap in het apparaatregistratieproces is het doelwit van deze brute-force-aanvallen. Om te begrijpen waarom wachtwoordbeheerders zoals Dashlane kwetsbaar waren voor deze aanval terwijl anderen zoals Keeper® dat niet zijn, wordt hieronder beschreven hoe de aanvallen doorgaans werken:
- Er wordt een code verstuurd: nadat een nieuw apparaat aan een account is toegevoegd, moet de service de identiteit van de gebruiker verifiëren. Dit gebeurt doorgaans met een zescijferige eenmalige toegangscode (OTP) die per e-mail wordt verzonden of door deze te genereren met een authenticatie-app. Met deze code wordt aangetoond dat de persoon die het apparaat registreert, de rechtmatige accounteigenaar is.
- Het eindpunt wordt overspoeld: aangezien een zescijferige OTP slechts 1 miljoen mogelijke combinaties kent, kan een aanvaller een API-eindpunt voor apparaatregistratie overspoelen met geautomatiseerde verzoeken. Indien het eindpunt geen snelheidsbeperkingen, vervaltermijnen voor codes of blokkeringen per poging hanteert, kan de aanvaller snel mogelijke waarden raden totdat deze de geldige code heeft achterhaald.
- Er wordt een geldige code geraden: na voldoende pogingen tegen een zwak beveiligd eindpunt zal de aanvaller uiteindelijk de juiste code raden. Aangezien die code het bewijs vormt van de identiteit van de gebruiker, wordt het apparaat van de aanvaller als legitiem geaccepteerd.
- Het apparaat is geregistreerd: de serviceprovider autoriseert het nieuwe apparaat en synchroniseert de versleutelde kluis van de gebruiker hiermee. Hoewel de gegevens in de kluis versleuteld blijven, beschikt de aanvaller nu over een kopie van de versleutelde gegevens en kan de aanvaller deze offline op eigen tempo ontcijferen.
Dit proces is geen hypothetisch scenario, maar een weergave van hoe de aanval op Dashlane zich heeft voltrokken. Dit maakt duidelijk waarom het beveiligen van het apparaatregistratieproces net zo belangrijk is als het beveiligen van de kluizen.
Waarom het registreren van niet-goedgekeurde apparaten risico’s met zich meebrengt
Het registreren van onbevoegde apparaten brengt ernstige veiligheidsrisico’s met zich mee, aangezien een nieuw apparaat, zodra het bij een wachtwoordbeheer-account is geregistreerd, toegang krijgt tot de kluis van de gebruiker en zich kan voordoen als een geauthenticeerde, legitieme gebruiker. De aanvaller hoeft de versleuteling van de kluis helemaal niet te omzeilen, te verzwakken of te breken om dit type brute-force-aanval uit te voeren. Het enige wat zij nodig hebben, is dat de serviceprovider hun apparaat vertrouwt, zodat de versleutelde gegevens uit de kluis rechtstreeks kunnen worden gesynchroniseerd met hardware waarover zij zelf de controle hebben.
De gevolgen van het feit dat een aanvaller een kopie van de versleutelde kluis van een gebruiker in handen heeft, zijn van langdurige aard. De aanvaller kan namelijk in zijn eigen tempo offline proberen de kluis te kraken, zo lang als nodig is om toegang te verkrijgen. Hoewel sterke kluisversleuteling de kans op succes statistisch gezien klein maakt, hangt de kans op succes sterk af van iets wat de gebruiker wel kan beïnvloeden: de sterkte van het hoofdwachtwoord. Een lang, complex en uniek hoofdwachtwoord kan voorkomen dat een gestolen kluis wordt gekraakt, maar een zwak of hergebruikt hoofdwachtwoord heeft een veel grotere kans om gekraakt te worden als er voldoende tijd voor is. Het is van essentieel belang dat het registratieproces van het apparaat goed beveiligd is, zodat de beveiliging van de kluis van een gebruiker niet volledig afhankelijk is van de sterkte van zijn of haar hoofdwachtwoord.
Hoe Keeper helpt om brute-force-aanvallen bij apparaatregistratie te voorkomen
Gebruikers van Keeper zouden niet het slachtoffer worden van hetzelfde soort brute force-aanval dat Dashlane heeft getroffen, omdat Keeper ervoor zorgt dat het simpelweg kennen van het wachtwoord van een gebruiker of het succesvol uitvoeren van een brute force-aanval op een OTP niet voldoende is om een nieuw apparaat te registreren of toegang te krijgen tot een kluis.
Apparaat goedkeuren
In Keeper moet elk nieuw apparaat expliciet worden goedgekeurd voordat het toegang krijgt tot een kluis. Deze goedkeuring is een afzonderlijke, bewuste stap en is niet iets dat automatisch plaatsvindt zodra een code wordt ingevoerd. Voor individuele gebruikers wordt de goedkeuring verleend door de accounteigenaar via een reeds vertrouwd apparaat; voor ondernemingen kan een beheerder namens legitieme gebruikers nieuwe apparaten goedkeuren. Bij dit soort aanvallen is het voldoende om een geldige OTP te raden om de registratie van het apparaat te voltooien. Met Keeper is er echter geen enkel API-eindpunt waarvan de code via een brute-force-aanval kan worden gekraakt om het proces af te ronden.
Multi-factor-authenticatie (MFA)
Keeper ondersteunt diverse MFA- of twee-factor-authenticatie (2FA)-methoden, waaronder FIDO2/WebAuthn-hardwaresleutels, biometrie, authenticator-apps en sms. Niet al deze methoden zijn even bestand tegen brute-force-aanvallen. Codes die via e-mail of SMS worden verzonden, zijn het meest kwetsbaar, omdat ze kunnen worden geraden of onderschept tijdens de overdracht. Authenticatie-apps bieden een betere beveiliging omdat de code lokaal op het apparaat van de gebruiker wordt gegenereerd, maar ze maken nog steeds gebruik van korte, tijdgebonden codes en zijn daarom afhankelijk van snelheidsbeperkingen en andere maatregelen om brute-force-aanvallen te voorkomen. Hardwarebeveiligingssleutels bieden de sterkste bescherming, omdat ze zijn gebaseerd op cryptografische authenticatie via een vraag-antwoordprocedure in plaats van op een korte code. Aangezien er geen voorspelbare waarde is die een aanvaller herhaaldelijk naar een API-eindpunt kan verzenden, zijn brute-force-aanvallen die gericht zijn op apparaatregistratie niet langer effectief.
Zero-trust beveiliging
Keeper is gebouwd op een zero-trust beveiligingsmodel, wat betekent dat elk toegangsverzoek geverifieerd moet worden, ongeacht de locatie van het netwerk of eerdere authenticaties. Met Keeper wordt aan een apparaat geen blijvend, impliciet vertrouwen verleend, alleen maar omdat het al geregistreerd of geverifieerd was. Keeper beoordeelt elk verzoek afzonderlijk. Dit beveiligingsmodel houdt in dat zelfs als een aanvaller op de een of andere manier erin zou slagen een apparaat te registreren, dit geen blijvende toegang zou opleveren. Binnen een zero-trust framework bestaat er geen mechanisme waarmee een aanvaller misbruik kan maken van de registratie van een apparaat om onbeperkte toegang te verkrijgen.
Geavanceerde rapportage- en alarmmodule (ARAM)
De Geavanceerde rapportage- en alarmmodule (ARAM) van Keeper geeft beheerders inzicht in verdacht gedrag in hun omgeving, waaronder authenticatie-anomalieën en pogingen tot apparaatregistratie. Verificatiepogingen die binnen een kort tijdsbestek plaatsvinden of een groot aantal mislukte apparaatregistratiepogingen zijn precies het soort gebeurtenissen dat ARAM aan het licht kan brengen. Dankzij volledig inzicht in ongebruikelijke activiteiten kunnen beheerders snel ingrijpen, in plaats van dat verdacht gedrag onopgemerkt blijft totdat er een ongeautoriseerd apparaat is geregistreerd.
Wilt u meer informatie over hoe de apparaatgoedkeuring, authenticatie en versleutelingsarchitectuur van Keeper zich verhoudt tot die van Dashlane? Bekijk dan onze Keeper vs Dashlane-vergelijkingspagina.
Waarom de zero-knowledge architectuur van Keeper belangrijk is
De toegangscontroles van Keeper zijn ontworpen om te voorkomen dat een aanvaller een apparaat kan registreren, maar de beveiliging verder wordt versterkt door nog een extra beveiligingslaag: een zero-knowledge architectuur. In de praktijk houdt zero knowledge in dat alles wat in de kluis van een gebruiker is opgeslagen, altijd end-to-end versleuteld is, zodat zelfs Keeper het niet kan ontcijferen. Omdat versleutelingssleutels worden gegenereerd op het apparaat van de gebruiker, worden gegevens ook lokaal versleuteld en ontcijferd, zodat de kluis volledig onder controle van de gebruiker blijft. Zelfs als een aanvaller op de een of andere manier een kopie van de versleutelde kluis van een gebruiker zou bemachtigen, zou de aanvaller voor een vrijwel onmogelijke uitdaging komen te staan, aangezien de versleutelingssleutels die nodig zijn om een Keeper-kluis te ontgrendelen, niet op de infrastructuur van Keeper aanwezig zijn.
Bescherm uw gegevens tegen brute-force-aanvallen met Keeper
Het beveiligingsincident bij Dashlane bewijst dat alleen een sterke versleuteling van de kluis niet voldoende is. Nu aanvallers hun focus verleggen van het kraken van versleutelde kluizen naar het uitbuiten van de workflows die toegang bieden, is het essentieel om te begrijpen hoe brute-force-aanvallen voorkomen kunnen worden en om apparaatregistratie- en authenticatieprocessen te beveiligen. Een wachtwoordbeheerder moet zowel gebruikerskluizen als de stromen voor kluistoegang beschermen.
De inbraak van LastPass in 2022 had een vergelijkbaar resultaat, maar verliep via een andere route: aanvallers hadden de infrastructuur van het bedrijf gecompromitteerd en kopieën van versleutelde opslagplaatsen gestolen, maar beveiligingsonderzoekers hebben de diefstal inmiddels kunnen herleiden tot slecht beveiligde opslagplaatsen. Zowel het incident bij Dashlane als dat bij LastPass laten zien dat, zodra een aanvaller toegang krijgt tot de versleutelde kluis van een gebruiker, deze voor onbepaalde tijd kan worden aangevallen. Dit onderstreept het belang van het gebruik van een veilige wachtwoordbeheerder om uw gegevens te beschermen.
Keeper is ontwikkeld om dit soort aanvallen af te weren door middel van goedkeuring van apparaten, waardoor ervoor wordt gezorgd dat een geraden code niet zelf een nieuw apparaat kan registreren. Ook worden er verschillende MFA-methoden gebruikt er wordt een zero-trust-beveiligingsmodel gehanteerd. Zo wordt ervoor gezorgd dat geen enkel apparaat impliciet wordt vertrouwd. Deze beveiligingsmaatregelen werken binnen een zero-knowledge architectuur, waarbij de versleutelingssleutel onder controle van de gebruiker blijven.
Begin een gratis proefperiode van Keeper om te zien hoe de gelaagde beveiliging ervoor zorgt dat uw kluisgegevens worden versleuteld onder de sleutels die alleen u beheert.
