Software-update: Vaultwarden 1.32.3

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbijkomt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager; voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder het gebruik van organisaties. Versie 1.32.3 van Vaultwarden is uitgekomen en hier zijn de volgende veranderingen en verbeteringen in aangebracht:

Notable changes

• Email template for org invites was updated again. The URL got HTML Encoded which resulted in a sometimes non-working URL (#5100)
• Fixed SMTP issues with some providers which send erroneous response to QUIT messages (Like QQ)
• Fixed a long standing collection management issue where collections were not able to be managed via the Password Manager overview

What's Changed

• Fix iOS sync by converting field types to int in #5081
• Fix field type to actually be hidden in #5082
• Fix org invite url being html encoded in #5100
• Update Rust to 1.82.0 in #5099
• Fix collection management and match some json output in #5095
• Add extension-refresh feature flag in #5106
• Hide user name on invite status in #5110
• Add documentation for the extension-refresh feature flag in #5112
• Update crates and fix Mail issue in #5125

Versienummer	1.32.3
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.32.3
Licentietype	GPL

Reacties (20)

[micnocom]

Ik heb geprobeerd Vaultwarden te gebruiken in/bij m’n Homeassistent installatie maar ik krijg het niet voor elkaar om httpS te gebruiken wat een verplichting is ook wanneer je enkel lokaal wilt draaien.

[Roef Stroop]

Misschien kan deze tutorial je verder helpen: YouTube: Quick and Easy Local SSL Certificates for Your Homelab!

[Sir Guinhill]

Met openSLL is het ook mogelijk, echter is het moeilijker geworden omdat alle browsers tegenwoordig ALT names eisen in het certificaat, wat OpenSSL niet van zich zelf doet.

in je .cnf file ( die ik SSL_Cert.conf zal noemen ) Moet zo iets als dit staan :

[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
req_extensions = req_ext
[ req_distinguished_name ]
countryName = "NL"
stateOrProvinceName = Noord Holland
localityName = Amsterdam
organizationName = Homelab inc.
commonName = dnsname.homelab.local

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = dnsname.homelab.local
DNS.2 = SMTP.homelab.local
DNS.3 = DC01.homelab.local
DNS.4 = *.homelab.local

je hebt maar 1 DNS.* altname nodig , maar ik heb meer als voorbeeld toegevoegd ( waaronder een Wildcard , handig als je met nginx een reverse proxy hebt. voor publieke toegangkelijke sites is SSL dan makkelijker ivm Lets Encrypt.

Als je .cnf eenmaal gemaakt is, dan heb je enkele commando's nodig met OpenSSL

openssl genrsa -out SSL_Cert.key 4096
openssl req -new -key SSL_Cert.key -out SSL_Cert.csr -config SSL_Cert.cnf
*1Er zal om Imput gevraagd worden. Type / plak de gevraagde tekst uit de voorbeelden, anders is het leeg.
openssl req -in SSL_Cert.csr -noout -text
*1Controleer of de output de gegevens bevat die gewenst zijn.

openssl x509 -req -days 365 -in SSL_Cert.csr -CA ".\Offline CA\ca.crt" -CAkey ".\Offline CA\ca.key" -set_serial 01 -out SSL_Cert.crt -extfile SSL_Cert.ext

openssl pkcs12 -export -out SSL_Cert.pfx -inkey SSL_Cert.key -in SSL_Cert.crt -certfile ".\Offline CA\ca.crt"
*1Er zal 2x om een Wachtwoord gevraagd worden, voor de 1e plak uit RDM “OfflineCA key Pass Phrase”
Voor de 2e plak “OfflineCA key Password (PFX)” , gebruik dit ww ook bij Import van de PFX in de gewenste applicatie.


Bestaand Certificaat verlengen:
In het geval van een verlenging van een Cetificaat zijn al deze stappen al gedaan, en zijn er nog maar 2 commando’s nodig voor het verlengen er van:
CD “.\Offline CA\CSR\SSL_Cert”

openssl x509 -req -days 390 -in SSL_Cert.csr -CA ".\Offline CA\ca.crt" -CAkey ".\Offline CA\ca.key" -set_serial 02 -out SSL_Cert.crt -extfile SSL_Cert.ext

openssl pkcs12 -export -out SSL_Cert.pfx -inkey SSL_Cert.key -in SSL_Cert.crt -certfile ".\Offline CA\ca.crt"

Op deze manier heb ik voor alle oplossingen in mijn omgeving SSL geregeld.
Hoef alleen te zorgen dat mijn CA.crt vertrouwd is op al mijn machines.

[Toeter1145]

Je kan ook alles achter een reverse proxy plaatsen. Ook een stuk veiliger, mocht je beslissen het toch van buitenaf te willen benaderen.

Caddy is een optie, werkt eenvoudig en heel snel. Kan automatisch een LetsEncrypt-certificaat toevoegen en vernieuwen. Configuratie verloopt via config-bestanden.

Nginx Proxy Manager kan ook. Deze heeft een mooie GUI om alles in te stellen.

Het is even wat werk, maar zeer leerzaam en eenmaal ingesteld heb je er veel plezier van. Eventueel kan je er ook (in de toekomst) nog andere diensten achter plaatsen. I.p.v. dat je dan voor iedere dienst een andere port moet forwarden, is het slechts 443 openzetten naar je reverse proxy en die zorgt ervoor dat je bij de juiste server/service uitkomt.

[nimmer]

net over met mijn webserver naar Caddy, echt een verademing (Y)

[bytemaster460]

Bij mij is het wel gelukt, in combinatie met de NGINX add on en de Duckdns add on. Hierbij heb ik niets anders gedaan dan de instructie volgen. Wat meer moeite kostte is iOS apparaten te laten connecteren. Hiervoor moest ik aparte certificaten genereren en installeren op de iPhone.

[mhaket]

Mbv zerotrust van cloudflare heb ik alles aan het werk zonder extra werk. Gewoon perfect.

[BugBoy]

Heb je dan wel een encrypted verbinding tussen Cloudflare en de Vaultwarden server? Zo niet, dan gaat nog een deel unencrypted over het net. Beter regel je het gewoon lokaal. Als je daar de kennis niet voor hebt, dan is het wellicht veiliger om toch maar de cloudversie te gebruiken.

[jozuf]

Ik doe dit ook, en ja die tunnel tussen cloudflare en je server is encrypted. Het is feitelijk gewoon een server to server vpn tunnel.
Je krijgt hier ook allerlei extra WAF beveiliging erbij en dingen als de "bot fight mode". DDOS protectie, caching. Dus alles waar cloudflare bekend om is zo'n beetje en voor thuisgebruik kan dat ook nog is allemaal gratis.
Cloudflare regelt het tls cert en doet gelijk HTTP/3 en wat andere zaken voor betere performance.

IMHO is dit veiliger dan het zelf doen en ook nog is minder werk. Al je data loopt wel door Amerikaanse servers dus dat is wel een ding. En aangezien cloudflare dan eigenlijk een TLS termination endpoint is, Kunnen ze ook alles unencrypted zien wat voorbij komt.

Daarnaast draai ik zelf nog een reverse proxy om in te perken waar cloudflare toegang toe heeft in mijn netwerk en om een punt te hebben waar ik voor requests dingen in kan hooken (zoals authelia).

[Reactie gewijzigd door jozuf op 28 oktober 2024 08:33]

[BugBoy]

En aangezien cloudflare dan eigenlijk een TLS termination endpoint is, Kunnen ze ook alles unencrypted zien wat voorbij komt.

Daarmee vervalt wel een beetje de redenering van het zelf hosten. Dat doe je vooral omdat je niet wilt dat een partij de data kan inzien. Volgens mij is Bitwarden end-to-end encrypted, dus komen er geen plain-text wachtwoorden voorbij. Eigenlijjk zeg je hiermee dat je Cloudflare meer vertrouwt dan Bitwarden. Of je gebruikt gewoon liever Vaultwarden i.p.v. Bitwarden...

[jozuf]

ja deels eens.
Keuze voor selfhosten is wmb niet alleen omdat je kiest voor privacy, dat is 1 v/d argumenten.
Er zijn bv services die je niet als cloud dienst hebt (denk aan een remote/RDP/SSH gateway ala Guacamole). Je kan data consolideren (hetgeen binnenkomt via de ene service gebruiken in de ander bv). Het is voor mij ook een soort homelab, en leer er heel veel dingen van. HomeAssistant ga je niet als dusdanig krijgen via cloud diensten en het kan leuk zijn die van buiten te benaderen. En nog wel veel meer dan enkel het privacy aspect. Het is dus maar wat je zoekt.

Ik zeg niet dat ik het 1 meer vertrouw dan het ander. Het is gewoon een alternatief, die mij veel voordelen biedt naast specifiek bitwarden/vaultwarden. Dit sluit beter aan bij wat ik wens.

Maar om eerlijk te zijn maak ik me er ook niet druk om. Cloudflare is niet echt een big data bedrijf (nog niet althans, wellicht hebben ze ambities) en bouwen geen advertentie profielen op.
Keuzes keuzes, maar enkel vanuit de privacy hoek hiernaar kijken is niet volledig vind ik.

[BugBoy]

Zo zit ik er ook in. Ik host hier ook van alles (o.a HomeAssistant, DSMR, Teslamate, ...) en ook eigen DNS met Pihole, Wireguard en Tailscale. Deels omdat het handig is, maar ik gebruik de opgedane kennis ook veel in mijn werk. Ik roep ook wel eens wat over privacy, maar al mijn foto's gaan zo Google Photos in

[micnocom]

Dank allemaal, ik ga nog een poging wagen

[teek2]

Je zou nog Tailscale kunnen proberen? In principe heb je de S niet meer nodig dan, maar dat kan dan alsnog met caddy, dat zou goed moeten gaan als je een ts.net domein instelt.

[L0g0ff]

Of tailscale met magicdns icm een reverse proxy met tls (wat overigens gewoon een public letsencrypt certificaat op hostname.domain.ts.net is )

Toevallig heb ik hem een weekje geleden op deze manier opgelost. Ik draaide ook alleen tailscale met unencrypted vaultwarden maar ik kon daarop niet een extra account aanmaken omdat vaultwarden eist dat je via een HTTPS verbinding binnenkomt voor de administration console.

Het zat me in de basis nooit lekker dat het ondanks tailscale via http liep maar ook dat is opgelost.

Poorten zijn mooi allemaal dicht voor de buitenwereld en alle clients hebben 2fa nodig voor tailscale.

Top combinatie

[iqcgubon]

DuckDns add-on? Dat zorgt normaal automatisch voor HTTPS op een jouwnaam.duckdns.org domein.

[BarryS]

One simple solution.. voor al je SSL certificaten voor HomeAssistant en alle addons.. NGINX Proxy Manager (is zelf ook een Addon).

Wat mensen vergeten die DuckDNS gebruiken, zet daar de SSL op false in de config van die Addon.
En uninstall NGINX Home Assistant SSL proxy.... want je gaat de NGINX Proxy Manager gebruiken.

[zenith]

Upgrade in docker is gelukt 👍

[Gladiatormax]

Proxmox/tteck update ook gelukt !

[jhoekman48]

Ik gebruik proxmox en dan een docker machine met linux.
Traefik is hier perfect voor!