Software-update: Bitwarden 2023.2.0

Bitwarden is een cross-platform en opensourcewachtwoordbeheerdienst die persoonlijke gegevens in een versleutelde digitale kluis opslaat. Het is in de basis gratis te gebruiken en voor een klein bedrag per jaar is er toegang tot diverse extra's, zoals kunnen inloggen met een hardwaresleutel voor extra veiligheid en opslagcapaciteit voor bijlagen. Bitwarden is beschikbaar online, als desktopcliënt, als mobiele app en als plug-in voor diverse webbrowsers. In deze uitgave zijn de volgende veranderingen en verbeteringen doorgevoerd:

Changes in Bitwarden 2023.2.0

• Self-host Announcement: In this release, we've migrated to a new SQL client which expects either a valid certificate or the presence of TrustServerCertificate=True in the connection string set in global.override.env. Please check for one of these before updating your server.
• Argon2: You can now change the algorithm used to derive your account's master key to Argon2id from the Account settings → Security → Keys page. See here.
  2023-02-14: Argon2 is supported by Bitwarden clients version 2023.2.0 and later, and switching to Argon2 via the web vault could mean other clients will not be able to load your vault until they’re updated, typically within a week after release.
• Increased default KDF iterations for PBKDF2: New Bitwarden accounts will use 600,000 KDF iterations for PBKDF2, as recommended by OWASP. Existing accounts can manually increase this number. See here.
• Master password security checks: New users who create their accounts on mobile apps, browser extensions, and desktop apps can now check known data breaches for their prospective master password via HIBP. This will be brought to the web vault in a future release. See here.
• Organization vault updates: As part of an ongoing effort to improve the web vault UI, some organization administration functions were redesigned, for example a consolidated Vault view for item and collection management as well as dedicated Members and Groups views.
• Log in with device on additional clients: Log in with device is now available on additional clients. Login requests can now also be initiated from browser extensions, desktop apps, and mobile apps and can now also be approved from desktop apps. See here.
• Automatic license sync for self-hosted organizations: Self-hosted organizations can enable automatic license sync in order to automatically update billing and subscription changes instead of having to manually re-upload licenses. See here.
• SQLite DB option for Bitwarden unified: SQLite is now an available database option for Bitwarden unified self-hosted deployments. See here.
• Updated self-hosted installer URLs: The URLs for downloading self-hosted server installers have changed. See here for Linux and here for Windows.
• Psono importer (json): A new import option is available for Psono (json) exports. See here.

Versienummer	2023.2.0
Releasestatus	Final
Besturingssystemen	Android, Linux, macOS, iOS, Windows 8, Windows 10, Windows 11
Website	Bitwarden
Download	https://bitwarden.com/download/
Licentietype	Freeware/Betaald

Reacties (43)

[Kjoe_Ljan]

Op de Bitwarden subreddit wordt gewaarschuwd voor het overstappen naar de Argon2 encryptie. Ik zie dat het ook in de release notes staat in dit bericht, maar het kan geen kwaad om dit even extra uit te lichten:

Argon2 is supported by Bitwarden clients version 2023.2.0 and later, and switching to Argon2 via the web vault could mean other clients will not be able to load your vault until they’re updated, typically within a week after release.

Oftewel: Argon2 pas in je vault aanzetten wanneer al je clients (browser plugins, Windows/Mac applicaties, mobiele applicaties) zijn geüpdatet naar 2023.2.0 of hoger.

[Verwijderd]

In elk geval één persoon meldt in de comments onder deze blog van Wladimir Palant over vergelijkbare zwaktes in Bitwarden als in LastPass dat oudere accounts "blijven hangen" op PBKDF2 met slechts 5000 iteraties.

In het Nederlands: stel de upgrade naar Argon2 niet langer uit dan noodzakelijk, vooral als je mogelijk géén beresterk master password gebruikt.

Een lang wachtwoord kan onverwacht "weak" gevonden worden (bron) - alhoewel hier sprake lijkt van een bug. Anderzijds is
Correct-Horse-Battery-Staple
een zwak wachtwoord.

Meer info over KDF's (Key Derivation Functions) vind je o.a. bij OWASP.

[Hydranet]

Hoe upgrade je dan je dan naar argon2 als de oudere accounts blijven hangen op pbkdf2 ?

[Verwijderd]

Hoe upgrade je dan je dan naar argon2 als de oudere accounts blijven hangen op pbkdf2 ?

In principe kan de producent het zo maken dat, elke keer dat je jouw wachtwoord invoert, nadat wordt ontgrendeld, tevens de KDF en/of de parameters voor de "moeilijkheidsgraad" worden gewijzigd.

Maar daar zouden praktische bezwaren tegen kunnen bestaan (afhankelijk van de implementie) en er kan sprake zijn van koudwatervrees, maar ik vermoed vooral schouderophalen.

Als je een echt sterk wachtwoord gebruikt (dus ook nergens anders gebruikt) is een zwakke KDF geen probleem.

[Ozymandias]

Als je het te sterk maakt dan kan het voorkomen dat je je masterpaswoord vergeet. Ik zou het dan ook opschrijven en het papiertje op een veilige plek bewaren, bijv. in een kluis of safety deposit box.

[Verwijderd]

Als je het te sterk maakt dan kan het voorkomen dat je je masterpaswoord vergeet.

Dat kan ook met een zwak wachtwoord, vooral als je het zelden invoert!

Ik zou het dan ook opschrijven en het papiertje op een veilige plek bewaren, bijv. in een kluis of safety deposit box.

Inderdaad, verstandig advies. Wel onthouden waar je het bewaart natuurlijk.

Je kunt daarnaast de helften ervan aan twee mensen geven die dan samen nodig zijn om in jouw ww-manager te komen (4-ogen principe), mocht je onverwacht op de IC belanden of op andere wijze "wilsonbekwaam" worden.

[Ozymandias]

Ben vorig jaar op de IC opgenomen geweest maar mijn familie heeft toch niks aan een masterpaswoord want die zijn allemaal digibeet.

[Reactie gewijzigd door Ozymandias op 26 juli 2024 11:05]

[Verwijderd]

Door Ozymandias:

Ben vorig jaar op de IC opgenomen geweest maar mijn familie heeft toch niks aan een masterpaswoord want die zijn allemaal digibeet.

Zij kunnen wellicht wel iemand inhuren die geen digibeet is, maar als de boel bij jou grondig is dichtgetimmerd en niemand sleutels heeft kan zo iemand ook niets uitrichten.

Vooral als je een eigen woning met huisgenoten hebt en jij alles regelt, of ZZP'er bent en zaken netjes afgehandeld moeten worden, is het voor tijdelijke vervangers (of nabestaanden) een extra drama als zij nergens bij kunnen - evt. met hulp van een vertrouwde derde.

Maar ik geef grif toe: ik moet zelf ook nog veel doen op dit punt. Mijn vriendin heeft een levenstestament laten maken, die stap moet ik ook eens gaan zetten (naast zorgen dat iemand in mijn privé apparaten en KeePass kan, en weet waar de belangrijkste info te vinden is).

[GertMenkel]

Mocht je niet kunnen/willen updaten kun je ook de hoeveelheid iteraties van de oude hashingmethode nog omhoog zetten. Hiervoor wordt je wel uitgelogd op al je apparaten (dus als je 2FA aan hebt staan en 2FA voor je Bitwarden in Bitwarden hebt staan, heb je een probleem) maar dit kan de security iets omhoog zetten totdat je kunt switchen naar Argon2.

[3raser]

... dat oudere accounts "blijven hangen" op PBKDF2 met slechts 5000 iteraties.

Je MOET dit ook handmatig aanpassen. Dit veranderd niet automatisch door je hoofdwachtwoord te wijzigen. Lees hier hoe dit moet.

Ik had liever gezien dat Bitwarden iets had ingebouwd waarbij een wijziging van het hoofdwachtwoord automatisch ook het aantal iteraties aan zou passen. Desnoods met een vraag/melding dat dit zou gebeuren. Maar blijkbaar is dat onwenselijk ofzo.

[Verwijderd]

Door 3raser:

Je MOET dit ook handmatig aanpassen. Dit veranderd niet automatisch door je hoofdwachtwoord te wijzigen. Lees hier hoe dit moet.

Dank, ook voor de link!

Door 3raser:

Ik had liever gezien dat Bitwarden iets had ingebouwd waarbij een wijziging van het hoofdwachtwoord automatisch ook het aantal iteraties aan zou passen. Desnoods met een vraag/melding dat dit zou gebeuren.

Eens. Een vaak terechte menselijke eigenschap is: "Werkt het? Afblijven dan".

Maar met een zwak wachtwoord en 5000 iteraties is dat niet verstandig, en daar moet je m.i. gebruikers actief bij helpen.

[3raser]

Precies. Een beetje pro-actief van die lage iteraties afkomen is softwarematig echt niet moeilijk. Een stukje code die bijvoorbeeld controleert of je iteraties lager zijn dan 300.000 zodat je bij het wijzigen van je hoofdwachtwoord de melding krijgt "Zullen we dit direct aanpassen naar onze nieuwe veilige standaard?". Ik zie daar het probleem niet van in. Maar waarom ze dat niet doen is voor mij een vraag.

[bjp]

FYI: firefox add-on zit nog vast op de vorige versie

[Prince]

En met Vaultwarden heb je een gratis, self-hosted backend die compatibel is met de applicaties en browser-plugins van bitwarden. Draait hier als een zonnetje...

[grote_oever]

Is het alleen een gevoel of zitten er echt voordelen aan het zelf hosten van je database? Ik werk nu al jaren met Bitwarden en ik ben zeer tevreden. Mis ik iets of is het alleen een soort gevoel van veiligheid? Want ik “hoop” dat Bitwarden het beter voor elkaar heeft dan mijn hobby Bob nasje met docker erop.

[sys64738]

Het grote voordeel is dat jouw hobby-Bob NASje niet zo in de schijnwerpers staat. De centrale DB van Bitwarden in handen zien te krijgen, is natuurlijk de hoofdprijs voor hackers. Die kleine install van jou gaan ze waarschijnlijk nooit vinden en anders is het alsnog niet echt interessant. En je kan het natuurlijk alleen op je eigen LAN beschikbaar maken waardoor het nog moeilijker is om toegang te krijgen voor kwaadwillenden.

Maar los daarvan is het door Bitwarden zelf laten hosten natuurlijk het makkelijkst en (zeer waarschijnlijk) ook wel veilig genoeg.

[i-chat]

een ander redelijk goed argument is dat bitwarden (cloud) publiek toegankelijk is

wanneer je selfhosted draait (of dat nu de officiele bitwarden is of een clone (vaultwarden) maakt daarbij niet zo uit), kun je publieke toegang vermijden het zei door het alleen binnen je thuisnetwerk te draaien, het of anders door het alleen toegankelijk te maken wanneer je verbinding hebt met je eigen private vpn....

[3raser]

Het allergrootste voordeel is dat je gratis gebruik kan maken van de enterprise features. Zoals het delen van wachtwoorden met meerdere accounts. Bijvoorbeeld binnen een eigen organisatie of als thuisgebruiker met je gezin.

[Klauwhamer]

Nou, het is ook weer niet zo dat je hoogleraar MIT moet zijn voor een relatief veilige omgeving. Met een beetje interesse heb je zo een Nextcloud-servertje up & running waar je goed zit. Daarnaast kan 'self hosted' ook betekenen dat je de database (versleuteld met een lange passphrase) bij Google Drive stalt.

[WTBram]

Vaultwarden is volgens mij een fork, dat was voor mij de reden om self hosted te gaan draaien.
Inmiddels is er naast hun eigen hosting, self hosting En Vault warden nog een 4e smaak in beta, zie link.
https://bitwarden.com/help/install-and-deploy-unified-beta/
Wat lichter en eenvoudiger aan te slingeren dan selfhosted, je mag nu wel een eigen (mysql of mariadb of...) db draaien ipv mssql. Op een Synology eenvoudiger in een eigen volume te draaien dan selfhosted. En het is van Bitwarden zelf, ipv een fork.

[BobV]

Vaultwarden is geen fork, maar een volledige alternatieve open-source Rust implementatie van de Bitwarden API. Daardoor is die qua benodigde resources een stuk vriendelijker. Zorgt er trouwens ook voor dat bepaalde betaalde features op je eigen instantie gratis zijn.

[The Zep Man]

Vaultwarden is geen fork, maar een volledige alternatieve open-source Rust implementatie van de Bitwarden server en API

[poeterdebier]

Weet jij of je “organisaties” van Vaultwarden en Bitwarden kan combineren?

[joerij]

Ik gebruik nu een tijdje naar tevredenheid de self-hosted versie, die nog in Beta is. Die lijkt nog niet in 2023.2.0 beschikbaar, maar blijft nog steken op 2023.1.1

[Sando]

Waar haal je die self-hosted versie vandaan? Op de downloadpagina valt niets te kiezen.

[SirLenncelot]

https://bitwarden.com/help/install-on-premise-windows/

[Sando]

Bedankt voor de link. Ik kende dit helemaal niet.

Aan de ene kant vind ik het erg interessant. Aan de andere kant val ik om van verbazing over de complexiteit. Je hebt ook gewoon minimaal 76 GB ruimte nodig voor de nodige Docker containers.

Is dit nu dat onderdeel waarvoor Vaultwarden het onofficiële alternatief is? Dat draait ook in Docker, maar is wel een (enorm) stuk kleiner.

[DR!5EQ]

Op linux is mijn Vaultwarden image 200MB en mijn reverse proxy 135MB. Klein verschil toch wel

[WTBram]

https://bitwarden.com/help/install-on-premise-windows/

Dat is de heavy duty volledige versie. De bèta waarover gesproken wordt heb ik in reacties hierboven en onder gelinked, zoek op Unified.

[WTBram]

https://bitwarden.com/help/install-and-deploy-unified-beta/

[LurkZ]

Vraagje, die self-hosted versies draaien die op je eigen PC/servertje of kunnen ze ook op een website host draaien?

[The Zep Man]

die self-hosted versies draaien die op je eigen PC/servertje of kunnen ze ook op een website host draaien?

Ja.

[RobertMe]

Afhankelijk van hoe je de vraag leest eerder nee

@LurkZ schrijft "website host" waarbij ik meteen moet denken aan "webhosting pakket" bij een willekeurige webhosting boer. Maar daarop kun je alleen PHP/Python/... draaien (afhankelijk van de aanbieder en wat je kiest). Voor het draaien van Bitwarden of Vaultwarden zul je echter toegang tot het OS moeten hebben of Docker containers kunnen draaien. Waarbij je dus of bij een VPS (of dedicated server) pakket of (waarschijnlijk) bij een (managed) Kubernetes pakket uit komt (of andere oplossing waarbij je beheert welke containers je draait zonder zelf het OS te moeten beheren).

[LurkZ]

Dat klinkt als een duidelijke "Nee".
De betreffende host is a2hosting. Simpel shared hosting. Werkt prima voor een website en webshop, maar geen toegang tot het OS.

[The Zep Man]

Afhankelijk van hoe je de vraag leest eerder nee

"kan Bitwarden op een website host draaien?"

Ja, dat kan. Je kan het mogelijk niet zelf regelen en het zal geen onderdeel zijn van een webhostingpakket, maar technisch staat er niets in de weg.

Het nut van het antwoord is afhankelijk van het nut van de vraag.

[Reactie gewijzigd door The Zep Man op 26 juli 2024 11:05]

[Megamind]

Hoe is de chrome extensie tegenwoordig? Een jaar geleden geprobeert en het kwam lang niet zo ver als lastpass met autofill en nieuwe site automatisch toevoegen.

[jinks26]

Auto-fill zit al een heel eind in de extensie.

[Lifelogger]

Mooi stukje software. Enige dat ik persoonlijk zelf wel mis is een optie voor software licenties op te slaan, zoals je dat in 1Password had. Kan wel notities maken, maar vind dat toch minder prettig werken.

[gotjoen857]

Je kan toch vrij makkelijk bijlagen toevoegen. Dus een licentie bestandje zou je op die manier makkelijk kunnen bewaren in Bitwarden.

[Lifelogger]

Ja, klopt. Is een optie inderdaad. Maar heb niet overal een bestand van. Soms alleen een key.

[beerse]

Een key is voor mij gelijk aan een wachtwoord en ze gaat dan ook in dat veld.

[gotjoen857]

Die bewaar ik dan vaak in een secure notitie veld.

[System]

Heb onlangs ontdekt dat ik Vaultwarden op mijn homeassistant kan draaien. Handig ding