Password Vault Overzicht
Password Vault slaat de items van elke gebruiker op in één versleuteld bestand, vitextra-password-vault.json, in de app-map van diens eigen OneDrive. Wie uw items kan zien, hangt daarom af van wie toegang heeft tot uw OneDrive en wie uw aangemelde computer kan gebruiken, niet van wie de pagina kan openen. Hieronder worden de gebruikelijke situaties besproken.
| Wie | Kan deze persoon uw items zien? |
|---|---|
| Collega’s die dezelfde pagina openen | Nee, zij zien hun eigen kluis |
| Leden van een Teams-kanaal met een Password Vault-tabblad | Nee, elk lid ziet zijn of haar eigen kluis |
| Pagina-eigenaren en sitebeheerders | Nee, er wordt niets opgeslagen op de pagina of de site |
| Microsoft 365- en OneDrive-beheerders | Zij kunnen het bestand benaderen zoals elk ander bestand in uw OneDrive, maar kunnen de items niet lezen zonder de pincode. Met een kopie van het bestand kunnen zij alle 10.000 pincodes offline proberen |
| Vitextra | Nee, Vitextra ontvangt geen kluisgegevens |
| Iemand achter uw ontgrendelde computer | Als de kluis is vergrendeld, niets, ook geen namen van items; alles zolang de kluis is ontgrendeld |
Kunnen collega’s die dezelfde pagina openen mijn wachtwoorden zien?
Nee. Het webonderdeel opent altijd de kluis van de aangemelde persoon. Als tien collega’s dezelfde SharePoint-pagina openen, ziet iedereen uitsluitend zijn of haar eigen items uit de eigen OneDrive. Password Vault op een gedeelde pagina plaatsen deelt geen wachtwoorden.
Kunnen leden van een Teams-kanaal mijn wachtwoorden zien?
Nee. Een Password Vault-tabblad in een Teams-kanaal werkt hetzelfde als het webonderdeel op een pagina: elk kanaallid dat het tabblad opent, ziet de eigen kluis. Dat is dezelfde kluis als op SharePoint-pagina’s en in de persoonlijke app.
Kunnen pagina-eigenaren of sitebeheerders mijn wachtwoorden zien?
Nee. Password Vault slaat niets op in SharePoint-lijsten, -bibliotheken of webonderdeeleigenschappen; de pagina bevat alleen het webonderdeel en de titel. Eigendom van een pagina of site, of de rol van siteverzamelingsbeheerder, geeft geen toegang tot de kluisbestanden van de gebruikers.
Kunnen Microsoft 365- of OneDrive-beheerders mijn wachtwoorden zien?
Password Vault heeft geen beheerconsole. Beheerders kunnen via het product geen kluizen bekijken, beheren, ontgrendelen of herstellen.
Het kluisbestand zelf is een gewoon bestand in uw OneDrive, beschermd door het toegangsbeheer van Microsoft 365 en OneDrive. Net als andere bestanden in uw OneDrive is het toegankelijk voor beheerders die volgens het beleid van uw organisatie toegang tot uw OneDrive hebben of zichzelf die toegang verlenen. Dat kan bijvoorbeeld gebeuren bij een onderzoek, via compliancehulpmiddelen of bij de overdracht van de OneDrive van een vertrokken medewerker. De itemvelden zijn versleuteld met een sleutel die wordt afgeleid van uw pincode en niet in het bestand wordt opgeslagen. Toegang tot het bestand alleen geeft dus geen leesbare items. De pincode heeft echter maar 4 cijfers: iemand met toegang tot het bestand kan een kopie maken en alle 10.000 pincodes offline proberen. PBKDF2 vertraagt elke poging; de limiet van vijf pogingen geldt alleen binnen het webonderdeel.
❗ Belangrijk
Een pincode van 4 cijfers biedt slechts beperkte bescherming tegen iemand die alle pincodes probeert op een kopie van het bestand. Het toegangsbeheer van OneDrive blijft daarom de eerste beschermingslaag. Password Vault is bedoeld voor persoonlijke, dagelijkse aanmeldgegevens. Volg voor beheerdersaccounts, serviceaccounts en andere accounts met uitgebreide bevoegdheden of gedeelde aanmeldgegevens het beleid van uw organisatie. Zie KB10452. Hoe Password Vault uw gegevens beschermt: versleuteling, pincode en opslag.
Kunnen andere apps in mijn organisatie het kluisbestand benaderen?
De kluis wordt opgeslagen via de Microsoft Graph-machtiging Files.ReadWrite.AppFolder. In SharePoint Online wordt deze verleend aan één toepassing die alle SharePoint Framework-oplossingen in de tenant delen. Andere SPFx-oplossingen in uw organisatie die dezelfde machtiging gebruiken, werken dus namens de aangemelde gebruiker met dezelfde app-map. Zo’n oplossing kan het kluisbestand lezen of wijzigen. De items daarin zijn versleuteld met een sleutel die is afgeleid van uw pincode, met de beperking uit de vorige sectie. Beheerders moeten alleen SPFx-oplossingen implementeren die zij vertrouwen. Zie KB10454. Microsoft Graph-machtiging Files.ReadWrite.AppFolder: waarom Password Vault deze nodig heeft en hoe u deze goedkeurt.
Kan Vitextra mijn wachtwoorden zien?
Nee. Versleutelen en ontsleutelen gebeurt in uw browser. Het kluisbestand wordt alleen tussen uw browser en uw OneDrive overgedragen. Vitextra ontvangt, bewaart of back-upt geen kluisgegevens, uw pincode of de daarvan afgeleide sleutel. Het webonderdeel verstuurt naar Vitextra alleen de technische identificatiegegevens voor de licentiecontrole en gebruikstelemetrie; zie KB10363. Waar Vitextra-producten uw gegevens opslaan: privacy, gegevenslocatie en AVG.
Wat kan iemand achter mijn ontgrendelde computer zien?
Iedereen die uw browser kan gebruiken terwijl u bij Microsoft 365 bent aangemeld, kan een pagina met Password Vault openen. Als de kluis is vergrendeld, ziet die persoon zonder pincode helemaal geen items, zelfs de namen niet:
- in plaats van de lijst toont het webonderdeel alleen Voer de pincode in en de werkbalk bevat alleen Vernieuwen;
- wachtwoorden, gebruikersnamen, URL’s, mappen, tags en notities worden niet getoond; Nieuw item, Pincode wijzigen, Zoeken, het filter en de favorieten zijn niet beschikbaar;
- de persoon kan pincodes invoeren en elke onjuiste pincode telt mee voor de limiet van vijf; zie hieronder.
Zodra de juiste pincode is ingevoerd, werken alle acties zonder opnieuw om de pincode te vragen: wachtwoorden tonen en kopiëren, Nieuw item, Bewerken, Verwijderen en Pincode wijzigen.
Na het invoeren van de pincode blijft de kluis ontgrendeld zolang de pagina geopend is en wordt gebruikt. Iedereen achter de computer kan wachtwoorden tonen en kopiëren en items wijzigen, totdat de automatische vergrendeling na 5 minuten zonder interactie ingaat; zie KB10451. Automatische vergrendeling: wanneer Password Vault opnieuw om de pincode vraagt. Een gekopieerd wachtwoord blijft bovendien op het klembord staan totdat iets anders wordt gekopieerd. Activiteit betekent interactie binnen het webonderdeel; acties elders op de pagina starten de timer niet opnieuw.
Iemand die de pincode niet kent, kan ook onjuiste pincodes invoeren. Vijf onjuiste pincodes achter elkaar blokkeren de kluis. De enige uitweg is opnieuw instellen, waarbij alle items worden verwijderd; zie KB10455. Onjuiste pincodes in Password Vault: wat er gebeurt na vijf mislukte pogingen.
De vijfde onjuiste pincode blokkeert de toegang, maar verwijdert items niet automatisch. Verwijderen vereist bevestiging van Opnieuw instellen en het succesvol opslaan van de lege kluis. Mislukte pogingen worden pas tussen pagina’s en apparaten gedeeld nadat de teller in OneDrive is opgeslagen. Bij een opslagfout blijft de verhoging lokaal in de geopende sessie.
💡 Tip
Vergrendel uw computer telkens als u wegloopt. Stel uw pincode in of wijzig deze waar niemand het scherm kan zien: op de schermen Pincode instellen en Pincode wijzigen zijn de cijfers tijdens het invoeren zichtbaar. Bij Voer de pincode in zijn ze afgeschermd.
Kan ik bewust een item delen met een collega?
Nee. Password Vault is een persoonlijke kluis: er zijn geen gedeelde items, gedeelde mappen of teamkluizen. Volg voor aanmeldgegevens die een team moet delen het beleid van uw organisatie.
