Software-update: Bitwarden 1.32

Bitwarden is een cross-platform en opensourcewachtwoordbeheerdienst die persoonlijke gegevens in een versleutelde digitale kluis opslaat. Het is in de basis gratis te gebruiken en voor een klein bedrag per jaar is er toegang tot diverse extra's, zoals kunnen inloggen met een hardwaresleutel voor extra veiligheid en opslagcapaciteit voor bijlagen. Bitwarden is beschikbaar online, op de computer, als mobiele app en als plug-in voor diverse webbrowsers. De desktopclient is bijgewerkt naar versie 1.32.0 en sinds versie 1.30.0 zijn daar de volgende veranderingen en verbeteringen in aangebracht:

Changes in version 1.32.0

• Introduce captcha upon 5 failed login attempts

Changes in version 1.31.3

• Bug fixes

Changes in version 1.31.2

• Bug fixes

Changes in version 1.31.1

• Bug fixes

Versienummer	1.32
Releasestatus	Final
Besturingssystemen	Windows 7, Android, Linux, macOS, iOS, Windows 8, Windows 10, Windows 11
Website	Bitwarden
Download	https://bitwarden.com/download/
Licentietype	Freeware

Reacties (33)

[lowfi]

95% van mijn passwords zijn web passwords. Het handigste vind ik dan ook een browser plugin omdat je dan automatisch alles etc in kan laten vullen.

Met zo'n losse app moet je handmatig opzoeken c/p etc. Niet handig lijkt me? Of mis ik iets?

[Drobanir]

Er zijn natuurlijk browser plugins en die gebruik je het meest om overal in te loggen. Het bewerken en organiseren van al je wachtwoorden, bankkaarten en notities gaat echter beter in de desktop app, hoewel je dit ook gewoon via een webpagina kunt doen.

[InflatableMouse]

Er schuilt een heel erg belangrijk gevaar in automatisch aanvullen en mijn advies is heel sterk om dat niet te gebruiken.

Je legt namelijk de herkenning van een spoofed website in handen van een algorithme van de een browser plugin, welke per difinitie beperkt zijn in code en mogelijkheden.

Bitwarden staat default op base domain herkenning, en zou daarmee elke sub domain automatisch aanvullen als jij een entry hebt op het base domain.

Daarnaast is het relatief eenvoudig met dns poisoning of spoofing de adresbalk de juiste site te laten zien terwijl het ip ergens anders heenwijst. Jouw inloggegevens liggen daarmee potentieel direct op straat.

Je hoeft namelijk niet op 'send' te klikken, code kan potentieel input lezen voordat het verstuurd wordt.

Just sayin'. Be careful!

[86ul]

Er schuilt een heel erg belangrijk gevaar in automatisch aanvullen en mijn advies is heel sterk om dat niet te gebruiken.
(...)
Just sayin'. Be careful!

Interessante insteek, merci.

Wellicht speelt het automatisch invullen een mindere rol bij Bitwarden, omdat je alsnog de gewenste account moet selecteren/bevestigen, voordat Bitwarden het zelf invult. Dus bij een login screen geeft Bitwarden een voorkeur, maar de gebruiker selecteert/bevestigt alsnog de precize keuze. Eenmaal geselecteerd in deze sessie, dan vult Bitwarden dan wél automatisch de rest in.

Zoals bij PayPal.* Daar moet je eerst jouw email adres ingeven, daarna jouw wachtwoord. Bitwarden herkent hier PayPal en geeft jouw PayPal data op als voorkeur. Dan klik je in Bitwarden op jouw PayPal account, zodat Bitwarden jouw email adres invult op de website van PayPal. Vervolgens bevestig jijzelf jouw opgegeven email adres, zodat PayPal daarna pas jou de mogelijkheid geeft om jouw wachtwoord op te geven. Omdat jij in deze sessie bij Bitwarden én deze website jouw account bij PayPal hebt geselecteerd, vult Bitwarden dan pas automatisch jouw wachtwoord in.

Hoe kijk jij hier tegen aan?

*Bij websites waar email adres en wachtwoord tegelijk kunnen worden ingevuld, dan doet Bitwarden beide tegelijk, nadat jij eerst jouw account voor die website heb geselecterd.

[SirLenncelot]

Ik denk dat hij doelt op het volledig automatisch invullen bij het laden van de pagina. Is een setting die je kunt kiezen in de browserplugin.

[japie06]

Yep. Staat standaard zelfs uit om precies de reden dat het wel eens gespoofd kan worden.

[teek2]

Je kunt je pw manager ook als bookmark manager gebruiken, dus dat je sites altijd van daaruit opent. Dan weet je zeker dat het goed is, en val je ook niet voor sommige scams. Je pw manager is dan dus je bron van betrouwbare urls én van de bijbehorende credentials.

[Reactie gewijzigd door teek2 op 22 juli 2024 21:32]

[jozuf]

Natuurlijk niet het geval bij dns spoofing.

[patrickvdweide]

Maar in dat geval krijg je dan toch een certificaatfout. Bitwarden zou daar dan op moeten checken en dan niet automatisch invullen..

[Reactie gewijzigd door patrickvdweide op 22 juli 2024 21:32]

[teek2]

Bij mij doet Bitwarden pas wat bij crtl-shift-L. En de browser heeft idd wel een waarschuwing bij verkeerd (of geen, dan zie je zelfs niks als je https in de url hebt staan) cert.

[Aardwolf]

Hm ik gebruik het ook altijd zo omdat ik dat makkelijker vind, maar was me er niet bewust van dat het waarschijnlijk ook een extra soort van veiligheid is. Wel een goeie en ergens ook logisch!

Enkel sites die een gekke popup als inlog hebben of rare login met sessie(string) oid in de url sla ik niet als zodanig op. Dat lijkt me dan weer een risico, want kan over 3 jaar best anders zijn dan de main site. Klopt die gedachte?

[Reactie gewijzigd door Aardwolf op 22 juli 2024 21:32]

[teek2]

Hmm, ik ben geen expert hoor, maar ik haal idd ook sessie info en andere url opsmuk weg, ik denk niet dat het een veiligheidsrisico is, direct, maar eerder idd dat de url later niet meer werkt.

[SirLenncelot]

Je kunt bitwarden bij herkenning ook naar het subdomain laten kijken. Niet standaard maar zou ik wel doen, krijg je ook een wat nauwkeurigere hit.

Verder vind ik het wat vergezocht om me er echt door tegen te laten houden. De kans dat het gebeurt acht ik al vrij klein, belangrijke inlogs heb ik 2fa beveiligd en door het gebruik van een pwd manager heb ik unieke inlogs. Dus imho kleine kans, kleine impact. Niet druk over maken en kiezen voor het gemak

[Shirenzo]

Forced htst gebruiken problem solved

[lowfi]

Ik heb ook niet aanstaan dat alles automatisch wordt ingevuld. Maar c/p vanuit een losse app lijkt me gewoon onhandig(er).

Ik zie verder nog wat andere argumenten maar ben nog niet helemaal overtuigd

Beheer doe ik zelf inderdaad op de website.

[AddictIT]

Aan de andere kant kan je wel argumenteren dat het veiliger is om automatisch de detectie te laten doen (en dus aanvullen) als je rekening houdt met het gevaar van UTF-8 characters in de URL, waarbij je visueel geen verschil meer kan zien tussen 2 letters. Op dat moment is dit wel een life-saver ipv manueel kopiëren en plakken.

[RuddyMysterious]

Daarnaast is het relatief eenvoudig met dns poisoning of spoofing de adresbalk de juiste site te laten zien terwijl het ip ergens anders heenwijst.

Daarvoor dient SSL/TLS en de certificaten: een spoofer moet dan al voor zijn gespoofd domein een eigen certificaat aanmaken dat ook nog eens getekend moet zijn door een gekende root CA.

I.e. als een domein gespoofd wordt, zal je browser klagen dat ofwel de verbinding niet veilig is (wegens HTTP zonder S) ofwel dat het certificaat niet veilig is wegens niet getekend door een CA gekend door de browser.

[P_Tingen]

Bij mij idem, daarom gebruik ik BW als plugin in de browser. Niet op automatisch invullen (had er niet eens bij stilgestaan dat dat kon) maar alleen handmatig. Ik ga naar site XYZ, die vraagt om login/ww, ik klik op BW, die laat dan de site in een lijstje zien (van sommige heb ik meerdere logins) en dan kies ik welke ingevuld moet worden.

Super handig om zo lange random wachtwoorden er op na te houden. In combinatie met 2fa ijzersterk.

[Rex]

Niet op automatisch invullen (had er niet eens bij stilgestaan dat dat kon) maar alleen handmatig.

Er gaat straks een wereld voor je open als je "automatisch invullen" aan zet.
Echt een aanrader!

[MrCrashdummy]

Bitwarden heeft ook een browserextensie

[emielkuiper]

Yep, je mist dat je browserplugins voor alle major browsers kan meeinstalleren. Te vinden op de downloadlink onder de screenshot.

[!GN!T!ON]

Ik gebruik beide tegelijk. De browser extensie voor web logins, en de desktop versie voor inloggen in Windows apps, en het beheren, aanvullen, etc. Dat werkt toch prettiger in de desktop app.

[christopher72]

Wanneer je ontgrendeling van de plugin met vingerafdruk wilt gebruiken, heb je zowel de desktop app als de plugin nodig. De twee praten met elkaar.

[Hiub]

Of mis ik iets?

De laatste woorden in deze zin? "Bitwarden is beschikbaar online, op de computer, als mobiele app en als plug-in voor diverse webbrowsers."

[Reactie gewijzigd door Hiub op 22 juli 2024 21:32]

[Rembert]

Probeer Bitwarden gewoon een tijdje. Het kost in de basis niets en voor veel mensen is die basis al meer dan genoeg. Ik betaal wel want yubikey.

[The Zep Man]

Deze client is ook te gebruiken met Vaultwarden.

[teek2]

Yes, dat werkt goed. Je kunt dan ook meerdere gebruikers hebben en verzamelingen credentials delen met verschillende gebruikers. Erg handig.

[xces]

Bitwarden* kun je ook self-hosted draaien in een docker container. Ik draai het zelf ongeveer nu een jaar thuis op mijn server en ben dus niet afhankelijk van 1password of zoiets die ineens geld gaan vragen. Gebruik de originele Bitwarden apps op het mobiel van mijn vrouw, van mij en heb de extensies in Chrome actief.

*) Note: voorheen was dit de image "bitwardenrs/server" maar dat is nu "vaultwarden/server" geworden. Het is niet van Bitwarden zelf maar het is een...
Alternative implementation of the Bitwarden server API written in Rust and compatible with upstream Bitwarden clients, perfect for self-hosted deployment where running the official resource-heavy service might not be ideal.

Ik draai nog de oude docker image en ga eerst een nieuwe instantie van de nieuwe docker image opspinnen en dan via backup/restore over. Er zijn mensen die 'alleen' de docker image hebben gewijzigd en dan met een corrupte database zitten

[Reactie gewijzigd door xces op 22 juli 2024 21:32]

[teek2]

Ik kon zonder problemen het image wijzigen maar ik zat dan ook ook vrij dicht op de datum waarop de naam veranderde, nu is het wat later en zou ik idd voorzichtig zijn.

Ik draai het ook al een jaar en heb nog geen problemen gehad. Ik vind Bitwarden tot nu toe de fijnste pw manager die ik heb geprobeerd.

[Reactie gewijzigd door teek2 op 22 juli 2024 21:32]

[slechtvalk]

Niets is 100 % veilig maar Bitwarden is een goede keuze.

[Verwijderd]

Introduce captcha upon 5 failed login attempts

Zat er eerst geen captcha in?

[Martinspire]

Misschien (alleen) een timeout

[Ben75]

Ik snap niet helemaal de versie die ik nu zie. 1.32 de nieuwste? Ik draai momenteel 1.56.6. Is 1.32 dan niet een oude versie? Bitwarden is voor mij echt een uitvinding. Zowel op mijn laptop als op mijn telefoon draait het zeer soepel. Echt een aanwinst dit programma.