Software-update: Vaultwarden 1.32.2

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbijkomt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager; voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder het gebruik van organisaties. Versie 1.32.2 van Vaultwarden is uitgekomen en hier zijn de volgende veranderingen en verbeteringen in aangebracht:

Notable changes

• Fixed collection management for managers

What's Changed

• Fix compiling for Windows targets in #5053
• Updates and collection management fixes in #5072
• Fix --version from failing without config in #5055

Versienummer	1.32.2
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.32.2
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (26)

[MarkyB]

Binnen mijn Proxmox LXC had ik niet voldoende aan de voorgeschreven 4 cores en 4GB memory en 6GB opslag. Tijdens de update liep deze vast op een volle schijf en vol werkgeheugen.
De opslag verhoogd naar 8GB en tijdelijk het geheugen opgehoogd naar 8GB met 1GB swap en de update verliep als een zonnetje.

[EdDeNtEr]

Zelf gebruik ik een pre-compiled versie op alpine linux in een lxc.
Gebruik slechts 1 core met 256MB ram en iets van 300MB aan opslag.
Swap zit geloof ik op 512MB.
Draait het nu enkele maanden en nog nooit problemen gehad.

[MarkyB]

Hier standaard 1 core en 512mb ram (voorgeschreven). Tijdens de update verhoogd naar 4 cores en 4GB (zoals voorgeschreven), dit was dus niet voldoende. Na de update uiteraard de resources weer omlaag gezet.

[Reactie gewijzigd door MarkyB op 13 oktober 2024 21:04]

[JurienW]

Vindt ik nog veel als ik kijk waar die bij mij op draait.
Heb 64 MB geheugen toegewezen en 1 core en gebruikt tussen de 18 en 32 MB geheugen.
Swap op 128MB, maar gebruik zit omder de megabyte.

[pentode]

Hier draait het als container in docker. En gebruikt bijna geen resources.
Met de genoemde specs kun je een Lexcie (LXC) of VM om Docker containers te draaien opzetten. Imho.
Met bijvoorbeeld Portainer voor management. Of in de prompt beheren.

[Reactie gewijzigd door pentode op 13 oktober 2024 20:25]

[MarkyB]

In normaal gebruik gebruikt hij ook bijna geen resources. Het ging ook puur over de update zelf.

[pentode]

Ja, herkenbaar. Wil je een installatie laten vlotten of niet vast laten lopen en je hebt de resources dan is ff meer mem, cpu en oa prio de manier. Dat staat vaak niet in de install specs. En dan kun je er aardig tegenaan bumpen.

[MarkyB]

In dit geval staat het wel in de install specs en geef ik aan dat het niet voldoende is en dit dus tijdelijk _verder_ opgehoogd dient te worden.

[pentode]

Draait hier sinds begin 2021 naar volle tevredenheid. Met twee traps verificatie.
Nog nooit issues gehad.
En met regelmaat wordt een off site backup gemaakt. Zo ook naar een usb flashdrive die weer een echte kluis in gaat.

Voor familie en bekende blijft dit digitale 'kluisjes' concept lastig. "Ach, ik sla het op in de browser en gebruik meestal toch het zelfde wachtwoord" is met regelmaat het antwoord. Hoewel dit toch voor m'n gevoel aan 't kantelen is.

Tegen wat oudere minder digi vaardige zeg ik van "je kunt ook een school schriftje gebruiken."
En het daar in op schrijven. Wel doen. Maar alles moet letterlijk en cijferlijk kloppen. Elke punt komma hoofd en kleine letter cijfers enz. Dat is soms al lastig. Een O of toch een grote nul 0. Het moet precies kloppen. En zet er een datum bij en waar het voor was.

En de vaak aangeboden wachtwoord vergeten optie is ook een prima manier imho. Als je oa weet welk e-mail adres erbij hoort. Mocht de browser in ene 'alles vergeten' zijn.
Tegenwoordig zit er bij sommige 'vergeten opties' een tijd slot op. Dan kan het pas na bijvoorbeeld 48 uur.

[Reactie gewijzigd door pentode op 14 oktober 2024 08:02]

[brobro]

Voor familie en bekende blijft dit digitale 'kluisjes' concept lastig.

Hier hetzelfde. En ik verbaas me er over. Wel mopperen op moeilijke wachtwoorden en zelfs zorgen hebben over veiligheid. Boekjes erbij, wachtwoorden vaak vergeten, etc. Maar een wachtwoordmanager waardoor je vervolgens overal met een klik en een vingerafdruk veilig kunt inloggen? Nee, daar hebben ze geen zin in.

[pentode]

Misschien brengen PassKey's soelaas. Hoewel dat nog lastiger lijkt uit te leggen ;-P
En uiteindelijk aanvullend Vaultwarden/Bitwarden voor passkey's gaan gebruiken...

[KVan]

Vaultwarden/Bitwarden ondersteunen al een hele tijd het opslaan van passkey's. Voor hetzelfde account kan je user naam, wachtwoord, 2FA en passkey allemaal samen opslaan.

Ikzelf gebruik voor 2FA Duo voor autenticatie op mijn nginx proxy manager om een onafhankelijke dienst er tussen te hebben. Moest die vervelend gaan doen kan ik hem er makkelijk tussen uit halen gezien eea lokaal gecontroleerd wordt.

[Reactie gewijzigd door KVan op 14 oktober 2024 08:09]

[pentode]

Thanx voor de update. En is het uit de beta?

[KVan]

https://bitwarden.com/passwordless-passkeys/ meld niks meer over bets

[Prince]

Is er eigenlijk ook een soort passkey die je zelf kan maken? Een softwarematige op een USB stick of zo?
Zeg maar een "private key" die je altijd bij hebt?

[pentode]

Dat ligt aan de acceptatie van de andere partijen en de implementaties. Dat klinkt vaag en klonterig ;-)
Ik volg het ook niet allemaal. Gebruik nog oa een yubikey. Ook Yubico de makers hebben een pagina gewijd aan passkey's. Dat bovenstuk had wel wat leesbaarder gekund.

"Passkey technology is the cybersecurity industry’s attempt to unify, streamline, modernize and rebrand existing authentication lexicon, even if the underlying technology is essentially identical to FIDO2/WebAuthn, which has existed since 2018."

De grote partijen de poortwachters zijn er druk mee bezig. In de regel nog in development.
Bitwarden biedt het aan. (beta?)

Voor de mindere lezers zijn er video's met uitleg.
En vaultwarden is er mee bezig.

"Sign into Bitwarden with passkeys
Use a passkey to sign into the Bitwarden web app with a compatible browser to streamline authentication, using the passkey for vault encryption. Available in beta."

[Reactie gewijzigd door pentode op 14 oktober 2024 08:07]

[Jerie]

Voor familie en bekende blijft dit digitale 'kluisjes' concept lastig. "Ach, ik sla het op in de browser en gebruik meestal toch het zelfde wachtwoord" is met regelmaat het antwoord. Hoewel dit toch voor m'n gevoel aan 't kantelen is.

Hetzelfde wachtwoord? Ik vind eigenlijk dat de markt steeds beter wordt, besturingssystemen hebben ingebakken wachtwoordmanagers. Apple heeft het in iOS/macOS, Google heeft het in Chrome (en in Android), Firefox heeft het. Natuurlijk zit je dan vast in een ecosysteem...

[Janspook]

Waarom zou je zelf hosten? Bitwarden gratis dekt volgens mij al best veel af. En wat als je vm crashed en er achterkomt dat je backup al een tijd corrupt is. Doei wachtwoorden

[pentode]

Zelf hosten dat is een keuze. Cloud diensten gebruiken ook. Die diensten kunnen er ook in ene mee stoppen. Of er periodiek geld voor (gaan) vragen. Of bepaalde eisen gaan stellen. Dat overheden toegang moeten hebben tot die data lees wachtwoorden en credentials. Het is maar net wat je wil. Ook daar kunnen backups corrumperen.

Van Bit- of Vault warden kan van de wachtwoorden en andere opgeslagen notities een csv of json file ge-exporteert worden. Die kan uitgeprint un-encrypted zo de fysieke kluis in. In een envelop. Op een usb sticky. Of ergens anders opgeslagen worden. De frequentie bepaalt hoe geactualiseerd de data is.

Wat weer oa in protocollen en beleid is vastgelegd. Bedoel dus meer bedrijfsmatig gebruik maken van Bit- Vaultwarden.
Voor huis tuin en keuken gebruik is een cloud versie doenlijk. Tis een kleine ramp als dan in ene de wachtwoorden konsky zijn.

En die VM of container oid als die crashed dan wordt deze op een andere server weer opgestart. Met de melding dat de andere de eerste ge-crashed is...

Zonder internet werkt het hier lokaal on-premises.
En dat ben ik als senior systeembeheerder zo gewend. En merk dat bedrijven daar deels terug naar toe willen. Want waar staat die data dan in the cloud? Wie heeft echt zeggenschap over die data enz. enz. Alleen dat is ook oa een kosten overweging.

[Reactie gewijzigd door pentode op 14 oktober 2024 07:34]

[Prince]

En ook: Hoewel "Security through obscurity" steeds minder als een valide punt aanzien wordt, heb je bij self hosting minder kans op een hackpoging.
Je kent zelf jouw doelpubliek, dus je kan er een geofirewall voor zetten die jouw gebruik dekt (en dus de kans op gehacked worden weer verlaagt).

[pentode]

Ja, dat geeft @MoonRaven ook aan. Geo firewalling Of alleen via een vpn toegang verschaffen. Op gezette tijden.
Port Knocking is ook een techniek om toe te passen.
Heeft allemaal weer voors en tegens.

[Reactie gewijzigd door pentode op 14 oktober 2024 07:39]

[MoonRaven]

Zelf controle hebben over mijn data. Backups maak ik dagelijks en ik heb minimaal een maand aan backups ervan. Ook geen VM, het zijn docker instanties in UnRAID. Ik heb bijvoorbeeld ervoor gezorgd dat alleen bepaalde landen mijn vault kunnen benaderen, al kan ik ook ervoor zorgen dat het alleen in mijn netwerk (of via een VPN) te benaderen is.

[BlackDex]

Misschien nog even leuk hier ook even te vermelden. Een Duitse Overheid instantie heeft een audit gedaan op Vaultwarden en heeft deze vandaag publiek gemaakt.

https://www.bsi.bund.de/D...s-Vaultwarden_241014.html

Alle CVE's die daar genoemd worden (en op Vaultwarden betrekking hebben) zijn al lang opgelost en iedereen die dus de laatste versie van Vaultwarden gebruikt heeft deze patches al.

[slechtvalk]

Ik heb de betaalde versie van Bitwarden. Zo steun ik de ontwikkelaars en hebben die ook de middelen om het het project verder te ontwikkelen.

[pietos]

exact, ik ook

[jcbvm]

En deze kun je ook zelf hosten, zelfs via docker eenvoudig te doen met bitwarden unified. Zie de voordelen niet zo meer va vailtwarden sinds ze deze variant aanbieden.