Software-update: Bitwarden 2025.8.0

Bitwarden is een crossplatform en opensource wachtwoordbeheerdienst die persoonlijke gegevens in een versleutelde digitale kluis opslaat. Het is in de basis gratis te gebruiken en voor een klein bedrag per jaar is er toegang tot diverse extra's zoals het kunnen opslaan van totp-codes, inloggen met een YubiKey en opslagcapaciteit voor bijlagen. Bitwarden is beschikbaar online, als desktopclient, als mobiele app en als plug-in voor diverse webbrowsers. In versie 2025.8.0 zijn de volgende veranderingen en verbeteringen aangebracht:

Admin Console

• Remove card item type policy: An enterprise policy was added that allows enterprise organizations to restrict the use of the card item type. Learn more here.

Password Manager

• Inline autofill password generator improvements: The inline autofill password generator will now immediately offer to save the generated password as a new login item. Learn more about the inline autofill here.
• Improved Item view: New improvements to viewing vault items have been added. Updates include favicons and other important information presented at the top of the vault item. Learn more about vault items here.
• HTTPS now required on Android: The Android Password Manager app now requires connection to a server using HTTPS. This change will only affect users who are self-hosting a Bitwarden server without a SSL/TLS certificate. Learn more about certificates here.

Versienummer	2025.8.0
Releasestatus	Final
Besturingssystemen	Android, Linux, macOS, iOS, Windows 10, Windows 11
Website	Bitwarden
Download	https://bitwarden.com/download
Licentietype	Freeware/Betaald

Reacties (22)

[RobVI]

Windows Hello biometrisch ontgrendelen werkt tot nu toe soepeler met deze nieuwe versie.

[vrow]

Het is een fijne wachtwoordmanager, ik gebruik al jaren de betaalde variant ervan.

Maar hij is soms inderdaad wel erg langzaam. Ook de browser-plugin duurt soms heel lang om te tonen. Op andere momenten is hij weer supersnel. Ik ben er nooit achter gekomen waarom dat precies is. Maar goed, verder een fijn programma dus ik blijf het zeker wel gebruiken.

[GieltjE]

Goede kans dat ze de data aan het decrypten zijn, als dat te snel zou zijn is je data ook niet echt veilig.

[Bor]

Goede kans dat ze de data aan het decrypten zijn, als dat te snel zou zijn is je data ook niet echt veilig.

Waarom niet? Het is prima mogelijk om decryptie snel te laten verlopen met diverse algoritmen of zelfs hardware. Een keyvault bevat meestal ook niet bijster veel informatie / data waardoor de omvang beperkt is.

[GieltjE]

Als dat mogelijk is word het brute forcen ook een stuk sneller, daarom is er expleciet gekozen voor een zwaardere encryptie.

Daarnaast is de client in deze verantwoordelijk voor de decryptie, als dit niet zo zou zijn kan de server potentieel jou gegevens stelen.

Deze twee punten falen genoeg andere password managers op.

[Bor]

Zwaarder hoeft niet te betekenen dat je merkbaar last krijgt van vertraging. Een keyvault is doorgaans een beperkte hoeveelheid data.

[RobertMe]

Maar het algoritme wordt juist wel zwaarder gemaakt. Het is al jaren zo dat je in ieder geval hashing algoritmes kunt "tunen" zodat ze of meer CPU verbruiken (/langer duren) of meer RAM vereisen (en dus lastiger "meerdere naast elkaar" te doen zijn.

Simpelweg dus om te voorkomen dat het brute forcen van in dit geval een hash van het master password te snel / makkelijk kan. Waarbij Bitwarden ook regelmatig defaults aanpast voor nieuwe accounts (en adviseert deze wijziging zelf te doen als je al een account hebt). Zoals een paar jaar terug de overstap van PBKDF2 naar Argon. En je bij PBKDF2 al het aantal iteraties kon aanpassen, en ook Argon verschillende tuneables heeft, niet alleen "meer iteraties" zoals PBKDF als enige optie had, maar ook om voor een hoger RAM gebruik te zorgen.

En ja, dd implicaties van deze wijzigingen zijn gewoon merkbaar. Toen ik van PBKDF naar Argon ben gemaakt ging het ontgrendelen van de vault op mijn verouderde telefoon merkbaar langzamer. Wat dus ook betekent dat als ik zou proberen te brute forcen met die telefoon het veel langzamer zou gaan (maar ook met een sneller systeem bv een verschil van 500ms vs 750ms al betekent dat je in hetzelfde tijdspanne maar 2/3e van het aantal hashes kunt genereren en brute forcen dus langzamer zal gaan / onmogelijk zal worden binnen een overzienbare tijd).

[laptopleon]

Andere wachtwoordmanagers hebben dat probleem (meestal) niet. Waarom zou een ww manager alle data ontcijferen als er maar één opgevraagd wordt? Daarnaast kost het niet zoveel rekentijd op een moderne computer dat je er echt iets van merkt.

[Barsonax]

Dat is express gedaan om tegen te gaan dat je de encryptie kan breken met brute force. Ze verhogen dan ook het aantal interaties in de encryptie eens in de zoveel tijd.

[Bor]

Dit lijkt mij zeer onwaarschijnlijk. Je wilt je gebruikers niet opzadelen met een slechte user experience en slechte performance. Anti hammering technieken (mocht je daar op doelen) slaan niet aan wanneer je gewoon goed inlogged natuurlijk. Het inloggen is de ene keer snel, de andere keer niet.

[Reactie gewijzigd door Bor op 21 augustus 2025 16:18]

[GieltjE]

Tot iemand je versleutelde data in handen krijgt, of dit nu een serverlek is, een verloren laptop, niet gelocked of ander probleem.

[Bor]

Dan probeer je offline te kraken en gaa het soms erg traag unlccken (maar andere keren snel) je niet helpen. Het is niet zo dat de decrtprie perse lang duurt. Het wisselt voornamelijk erg. Ook de eerste unlock na bv een reboot is soms snel en soms traag en dat is waar het hier over gaat.

[Reactie gewijzigd door Bor op 21 augustus 2025 12:30]

[GieltjE]

Dat gaat zeer zeker wel helpen, omdat de berekeningen simpelweg niet sneller te doen zijn in de huidige of voorspelde hardware (quantum of klasiek).

Dat betekend dat het brute forcen simpelweg een extreem dure en tijdrovende taak word, als het al haalbaar is.

Er word al op grote schaal data gestolen om later te ontsleutelen als quantum ooit iets word.
Wat nu moeilijk te berekenen is is misschien volgend jaar haalbaar met snellere [g|c]pu's.

Doordat deze algorithmen dingen berekenen die nu niet snel te doen zijn, waarbij ze ook verwachten dat deze in de toekomst niet snel te doen zijn, word jou (en van iedereen die dit soort oplossingen gebruikt) data veilig gehouden.

Beveiliging gaat niet om het gemak, het gaat erom dat wat er belangrijk is daadwerkelijk veilig word gehouden.


Als het de ene keer traag is en de andere keer snel, ga eens je netwerk debuggen, kijken wat er gebeurd.
Bitwarden houd soms lokaal de versleutelde data vast voor zover ik weet. Soms word deze eerst gesynchroniseerd.

Er zijn allerhande "issues" die mogelijk zijn, debug, open een ticket en help de wereld.

[Reactie gewijzigd door GieltjE op 21 augustus 2025 12:24]

[Barsonax]

Het gaat erom dat je kluis veilig is en dat je daar iets aan user experience inlevert is een trade-off die gemaakt wordt.

Lees vooral wat hier staa https://bitwarden.com/help/kdf-algorithms/. Je kan zelf het aantal interaties aanpassen

[tszcheetah]

Er gebeuren meerdere dingen na inloggen. Ten eerste wordt natuurlijk je wachtwoord gechecked, dat gebeurt vaak met hoop iteraties om brute force op je hoofdwachtwoord moeilijker (trager) te maken.

Daarna wordt je vault gesycned met de server. Als je netwerkverbinding niet optimaal is, de server is druk of je kan de server niet bereiken, kan dat dus ook langer duren (in het ergste geval tot er een timeout optreedt, zo'n halve minuut volgens mij).

[GeroldM]

30 seconden is inderdaad de maximum tijd dat het TCP mag wachten op een response, voordat deze een nieuw pakket verstuurt (via een andere, (hopelijk) meer succesvolle route). Dit is vastgelegd in het protocol en ook zo ingesteld in de Windows netwerk stack.

Dit kan worden aangepast, maar alleen via de Resitry, Microsft heeft daar nog nooit een interface voor gemaakt en aangegeven dat ook nooit te willen doen, want het overgrote deel van gebruikers is niet kundig genoeg om de consequenties van aanpassingen in die settings te overzien.

[beerse]

Volgens mij kan je (bij ios en android in ieder geval) de automatische sync uit zetten en de sync alleen doen als je er om vraagt: de lijst met accounts en dan naar beneden vegen. Zeker als je centrale kluis niet altijd overal beschikbaar is (met een eigen vaultwarden kluis thuis bijvoorbeeld) dan kan dat het opstarten wel versnellen.

[A. Ben]

Hoop dat ze in deze update ook dit fixen, maar verwacht het eigenlijk pas bij de volgende update...

https://thehackernews.com/2025/08/dom-based-extension-clickjacking.html

[naaitsab]

Hier een stuk uitleg over het geheel.
https://community.bitwarden.com/t/should-i-be-worried-about-clickjacking/87988/2

TL;DR. de exploit is inderdaad opgepakt bij deze update:
https://community.bitwarden.com/t/should-i-be-worried-about-clickjacking/87988/6

[A. Ben]

Thanks voor de handige linkjes. Lijkt voor nu iig gedeeltelijk gefixt als ik dit nu lees en dat met (inline) autofill menus hier nog wel kwetsbaar voor is.

My understanding is that the patch only addresses exploits based on opacity manipulation (i.e., transparent form elements), but that users who enable inline autofill menus may still be vulnerable to click-jacking using “Overlay” techniques.

[taaner242484]

Momenteel problemen om in te loggen, masterpaswoord wordt niet aanvaard en krijg ook geen mail met paswoordhint. Blijkbaar algemeen gekend probleem: https://community.bitwarden.com/t/repeated-unauthorized-access-attempts-locked-out-of-account/88031

Nog maar eens de vervelende fout gemaakt om de server niet te wijzigen van bitwarden.com naar bitwarden.eu Mijn fout dus (maar er is blijkbaar wel een probleem met mails ivm. 2FA).

[Reactie gewijzigd door taaner242484 op 21 augustus 2025 11:32]

[MerijnB]

Waarom denk je dat er een probleem is met mails mbt 2FA?