Wachtwoordmanager Bitwarden had storing - update

Er is een storing bij wachtwoordmanager Bitwarden. Gebruikers ervaren daardoor problemen met inloggen. De dienst is op de hoogte en zegt de zaak te onderzoeken. De storing begon rond 14.30 uur dinsdagmiddag.

Op de statuspagina van Bitwarden staat dat de dienst meldingen heeft binnengekregen en die onderzoekt. Het is niet bekend hoeveel mensen last hebben van de storing. Op Twitter staan enkele meldingen van gebruikers die niet kunnen inloggen op hun Bitwarden-account.

Volgens de statuspagina zijn er problemen met de clouddiensten en de Web Vault. Uit de logs van de statuspagina blijkt ook dat er maandag problemen waren. Die waren toen na zo'n 2,5 uur opgelost. Het is niet bekend of de problemen van dinsdag gerelateerd zijn aan die van maandag.

Update, 16.08 uur: De storing is volgens de statuspagina van Bitwarden opgelost.

Reacties (59)

[egkunst]

Momenteel weer problemen. Na inloggen zijn alle wachtwoorden encrypted.
Om op te lossen volstaat er een handmatige sync via instellingen.

[quizzical]

Niks aan de hand bij mij maar dat is te verwachten want ik gebruik enkel de bitwarden apps, die dan weer verbinden met het open-source vaultwarden.

[mdenboer]

En vaultwarden host je dan zelf? Kun je in de apps van Bitwarden opgeven waar je naartoe verbind?
Ik ben benieuwd hoe dit zit als Bitwarden gebruiker. Ik hou niet zo van storingen en ben graag op de hoogte van alternatieven.

[ocdaan]

Je kan bv op een synology nas je eigen server hosten en dan daar naartoe verbinden ja. Ideaal ;-)

[Frame164]

En die heeft natuurlijk nooit een keer een storing. Wat als jouw ISP een storing heeft?

[ocdaan]

Iedere client heeft een lokale kopie van de opgeslagen wachtwoorden, je kan alleen geen wijzigingen doorvoeren, verder geen probleem dus als de server er even uit ligt.

[TuxDePinguïn]

Kun je dat dan ook redundant doen? Zelf hosten + bij Bitwarden?
Of heb je ergens een cloud backup van je self hosted bitwarden db?

Ik vertrouw Bitwarden toch meer dan een NAS van duizend euro.

[Verwijderd]

Ja en nee. Bitwarden kun je zelf hosten (of de hoster van je keuze) en de software is opensource.
Maar je zult altijd een account nodig moeten bij Bitwarden om de software te mogen gebruiken (licentie) en voor support. Ook voor de hosted software. Het blijft een commerciële instelling.
https://bitwarden.com/pricing/business/

De selfhosted software die de meeste mensen hier gebruiken is niet Bitwarden maar een opensource ‘fork’ die een groep vrijwilligers bouwen: https://github.com/dani-garcia/vaultwarden
Niets mis mee maar niet hetzelfde. Het wordt gebouwd op source van Bitwarden.

[GekkePrutser]

Dit is niet helemaal zo. Je kan de officiele bitwarden server ook gewoon gratis draaien. Maar dan heb je wel de beperkingen van een gratis bitwarden cloud account, ook als je zelf de hosting doet. Zoals bijvoorbeeld 2FA via Fido2 (bijv. Yubikey). Je hebt dus niet per se een licentie nodig voor de officiele server.

Maar met de open source server kan je wel alles zonder te betalen, vandaar dat die zo populair is.

Overigens zijn de kosten best behoorlijk vergeleken met bijv. LastPass en 1Password. Een tientje per jaar, wat is dat nou. Als ik bitwarden zou gebruiken zou ik er wel voor betalen om de ontwikkeling te stimuleren. Maar ik gebruik zelf wat anders.

Ik vraag me af of Bitwarden de compatibiliteit met Vaultwarden blijft ondersteunen of dat ze echt naar een gesloten model gaan uiteindelijk. Maar ik denk dat het aantal mensen dat self host niet echt een bedreiging is voor de bottom line, en dat het ze wel een hoop mond op mond reclame oplevert. Want al die techies die self hosten hebben een hoop familieleden die dat niet snappen maar wel naar hun advies luisteren.

[Reactie gewijzigd door GekkePrutser op 24 juli 2024 09:14]

[Verwijderd]

Ik heb het geprobeerd maar je hebt toch echt een licentie sleutel nodig om de officiële selfhosted images te draaien.

Zie ook:
Q: What are my installation id and installation key used for?
https://bitwarden.com/help/hosting-faqs/#general
A: Installation ids keys are used when installing Bitwarden on-premises in order to:
Register your installation and contain email so that we can contact you for important security updates.
Authenticate to push relay servers for push notifications to Bitwarden client applications.
Validate licensing of paid features.
Retrieve an installation id and key from https://bitwarden.com/host.
You should not share your installation id or installation key across multiple Bitwarden installations. They should be treated as secrets.

Je hebt verder gelijk, hoor. Je kan de images draaien (met een gratis te verkrijgen key) maar je hebt dan weer aardig wat beperkingen. Vandaar ook mijn ‘ja en nee’ antwoord. Persoonlijk gebruik ik veel Yubikeys en anders MFA pushberichten. Je wil het zo laagdrempelig mogelijk houden. Maar dat vereist dus weer premium.

[ocdaan]

Dat weet ik niet. Ik heb het in eigen beheer op mijn nas, via mijn eigen domeinnaam, de enige die ik echt vertrouw ben ik zelf ;-)

[TuxDePinguïn]

Kijk daar zit dus een verschil. Ik vertrouw "versleuteld in de cloud" veel meer dan mezelf.

Wat als je huis af fikt, of je hebt om een andere reden permanent geen toegang meer tot de data op je NAS? Heb je ook nog ergens off site een NAS?

En wat als je iets te laat erachter komt dat er een flink beveiligingslek zit in Synology?

Dan heb ik toch liever dat data die cruciaal is (bijv. db van wachtwoordmanager) versleuteld in de Cloud. Al hoop ik ooit een setup te kunnen bedenken/krijgen waarin ik dit met een gerust hart in eigen beheer kan gaan doen.

[ocdaan]

Volgens mij laat je je een beetje gek maken door alles wat er in het nieuws gebeurt. In de praktijk is het allemaal wat minder spannend natuurlijk ;-)

Ik heb geen offsite nas maar wel een offsite backup. Zo superveel data heb ik nu ook weer niet dus zo af en toe maak ik een (extra) backup op een hdd en die leg ik op een andere locatie.

Er zijn verschillende maatregelen die je kan nemen om 'standaard' hacken van je syno te voorkomen, andere poort, geen default admin login, etc etc.

Met een beetje gezond (IT) verstand kom je een heel eind en vind ik het persoonlijk prettiger om alles in eigen beheer te hebben. maar ieder zijn ding natuurlijk.

[cyborgium]

Hier heb je een container die automatische backups maakt, van zowel de bitwarden vault files, als de attachments (iets wat niet gebeurt als je een backup maakt vanuit de bitwarden webui). Je kan het zo instellen als je zelf wilt, zo maak ik elk uur een backup en laat die automatisch, ge-encrypt in een cloud opslaan.

[xFeverr]

Ik had tijdens de verhuizing en verbouwing mijn NAS waarop vaultwarden draait uitgezet en dit heeft een paar dagen geduurd voordat hij weer aan ging. Deels omdat ik een paar dagen moest wachten tot ik internet had in mijn nieuwe woning, maar vooral ook omdat ik er geen last van had. De Bitwarden-app op je telefoon blijft gewoon werken. De browser-plugins blijven gewoon werken. Er was niks aan de hand.

Pas toen ik een nieuwe login wou opslaan ging dat niet, en toen heb ik ook direct de NAS terug aangesloten

Wat wil ik hiermee zeggen? Dat zelfs als je nas in de fik staat en je dagen moet wachten tot je backup terug staat op je nieuwe nas, je nog steeds op je mobiele telefoon en in browsers erbij kan. Dat is in ieder geval iets wat ik erg prettig vindt.

[barrymossel]

Hier wordt Bitwarden (Vaultwarden) lokaal gehost. Dagelijks wordt en snapshot genmaakt. van de VM waar dit in draait. Die snapshot kun je dan weer lokaal of in de cloud backuppen.

[MrJoery]

Dit is inderdaad hoe het werkt, je geeft simpelweg de URL naar je eigen Bitwarden op in de officiële apps van Bitwarden.

Vaultwarden is Bitwarden maar dan geschreven in Rust, verder is het ook geen set van ~ 8 containers, maar slechts 1.

[labmuisfrl]

Je kan zelf een instance draaien van bitwarden. Deze kan je dan desgewenst via het web of via de app gebruiken.

bitwarden self hosted kan je makkelijk via een docker script deployen

[TheHeavySoldier]

Ja, het is wel een poosje geleden dat ik ben uitgelogd. Maar van wat ik mij herinner kan je gewoon een eigen URL opgeven. Vul je je eigen vaultwarden locatie in dan kun je daar gewoon verbinding mee maken.

Heb mijn yubikey niet bij me dus kan ook niet ff uitloggen.
Maar als je de app installeert kan je dat zelf volgens mij direct ook wel zien.


Tevens, bitwarden heeft 2 manieren van “uitloggen”.

Uitloggen -> dan moet je tijdens het inloggen weer authenticeren bij bitwarden en hun servers (inclusief je MFA).

Locken-> dan blijf je wel ingelogd, maar moet je opnieuw authenticeren met alleen je master password om in je password manager te komen. Dan kan je gewoon nog je wachtwoorden opvragen en dergelijke.

Standaard staat dit op locken geloof ik, maar dat is te wijzigen naar uitloggen.

[Reactie gewijzigd door TheHeavySoldier op 24 juli 2024 09:14]

[fre0n]

Je kunt in de apps inderdaad een self hosted bitwarden of vaultwarden adres invoeren

[JasperE]

Je kan vaultwarden in de free tier van Google cloud compute draaien. Werkt prima!
https://github.com/dadatuputi/bitwarden_gcloud

[YStec]

Ik had eerst LastPass, de gratis versie; werkte prima. Maar ze willen natuurlijk geld verdienen, dus de gratis versie werd beperkt.

Heb toen een beetje rondgekeken, en kwam toen Bitwarden en inderdaad Vaultwarden tegen. Ik heb een NAS, dus dat leek me best perfect.

Totdat ik even stilstond bij de gevolgen van Vaultwarden: 1) je moet het wel zelf onderhouden, 2) je moet het wel zelf beveiligingen. En dan had ik nog problemen om lokaal (via een 192.x.x.x adres) toegang te krijgen, omdat gezeur met certificaten.

En dat andere punt is een nog groter probleem voor mij: wil ik zoiets wel zelf beveiligen? Ik wil mijn NAS absoluut niet direct op het internet zetten, dus dan moet de verbinding via een VPN lopen. En Vaultwarden dan via de VPN bereiken. En dan maar hopen dat de security meteen in orde zit, want ik zou niet weten wat ik extra zou moeten regelen...

Ik snap dat we op Tweakers zitten en dat technische uitdagingen op zich daar wel bij passen, maar als het aankomt op onderhouden en beveiliging, weet ik in ieder geval dat dat niet sterke punten zijn. Weet dus eerlijk gezegd niet of het wel zo verstandig is om de software van je wacthwoordmanager zelf te managen...

Heb daarom ook maar gewoon een Bitwarden-abo genomen van 10 euro per jaar, ook omdat ik YubiKey- en 2FA-ondersteuning wilde. En liever een Bitwarden (open source) dan een commercieel bedrijf als LastPass.

[Reactie gewijzigd door YStec op 24 juli 2024 09:14]

[Marve79]

Ik heb Bitwarden een tijd lang zelf gehost. Een jaartje ofzo. Maar inderdaad je moet dat onderhouden. Niet enkel de applicatie maar ook het onderliggende OS en de reverse proxy die ik gebruikte (nginx) incl SSL certificaten. Het is een keer gestopt met werken na een browser update, toen moest ik even de Docker updaten, allemaal zo gepiept natuurlijk maar toch.

De twijfel slaat dan al toe want ik heb daar echt geen zin in. Ik moet ook regelmatig een apt update && apt upgrade draaien maar ben daar ook laks mee, met als gevolg dat inderdaad je beveiliging zwakker wordt.

Dus heb ik nu gewoon de betaalde versie genomen, vanwege 2FA. $12 per jaar geloof ik uit m'n hoofd en ben ik van al dat gezever af Er zijn bepaalde zaken die je beter niet zelf kunt hosten. E-mail is daar eentje van en een password manager eigenlijk ook.

[mjz2cool]

Je kunt ook unattended upgrades installeren, dan hoef je in ieder geval niet zelf elke keer apt update/upgrade te doen. En hoe vaak moet je de docker image updaten? dit zal toch niet elke week zijn? Ik heb zelf ook één en ander draaien op een Linux servertje, met unattended upgrades ingeschakeld, en dan kijk ik voor de zekerheid eens per maand/2 maanden of de boel up-to-date is.
Verder houd ik in de gaten of bijvoorbeeld Home assistant een update heeft, om dan met een docker-compose pull en docker-compose up -d weer bijgewerkt te zijn.

Het blijft natuurlijk belangrijk om de server te onderhouden, maar het is niet heel veel werk als alles gewoon draait.

[Marve79]

Maar je moet het ook backuppen enzo. Er kruipt toch altijd wel wat tijd in. En zolang het goed gaat gaat het goed natuurlijk. Tot je servertje een keer crasht.

[mjz2cool]

Dat klopt, al kun je backups ook automatiseren. Uiteindelijk is het maar net wat je ervoor over hebt en wat je teveel tijd vind.

[Marve79]

Ja inderdaad en een cloud dienst moet je in principe ook backuppen al doen veel mensen dat niet.

Het is maar hoe belangrijk het voor je is. Stel dat ik al mijn wachtwoorden zou verliezen het zou super vervelend zijn maar ook weer geen heel groot drama. Meeste zijn toch éénmalige logins.

[barrymossel]

En een nieuw wachtwoord is vaak zo aan te vragen.

[Kenhas]

Bij mij draait het als addon binnen Home Assistant (KLIK). Daarnaast is een andere addon Nginx Proxy Manager die de doorverwijzing regelt naar het intern ip adres en een LetsEncrypt certificaat.
Updates verlopen dan binnen home assistant.
Ik heb 2FA aangezet binnen BitWarden.

Denk dus dat ik wel redelijk veilig zit, zolang er geen kritiek lek zit in de inlog procedure van BitWarden maar dan heb je natuurlijk ook nog de 2FA
Geen idee hoe het zit met YubiKey maar ik veronderstel dat dit er ook ergens in zit aangezien ik dit zie
https://i.imgur.com/p6Qun6B.png

[Martinspire]

Ik mis nog iets over een firewall en je verbinding open zetten naar het wijde web

[Kenhas]

Tja, poort 443 wordt doorgestuurd.
Dan kom je op de login pagina van Bitwarden. Daar is 2FA actief.

[oef!]

Je zou eens kunnen kijken naar Nginx Proxy Manager.

Het is wel een oplossing met een hoog Tweaker gehalte. Ik heb een domeinnaam qua dns gratis ondergebracht bij Cloudflare. Verkeer naar mijn domein vanaf het internet gaat naar Cloudflare (met geoblocking geconfigureerd) en dan naar mijn nginx proxy manager (gedockered). De laatste stuurt het weer door naar de correcte container of server. NPM handelt hierbij geautomatiseerd de certificaten af.

Maar ik snap je overweging wel. Bij gedonder met je eigen infra heb je al snel een probleem en je hoeft je minder druk te maken over zaken als backups, etc.

[Reactie gewijzigd door oef! op 24 juli 2024 09:14]

[ReTechNL]

Zelf heb ik een docker server op Ubuntu server met portainer, watchtower en vaultwarden. Vervolgens een reverse proxy (https) via pfsense haproxy met vervolgens een reverse proxy (https) via cloudflare.

[PLTBoss]

Het is niet zo moeilijk om Bitwarden/Vaultwarden op je NAS zelf te hosten. Kijk maar hier:
https://mariushosting.com...den-on-your-synology-nas/

Onderaan die webpage staat hoe je een docker-container over https kunt benaderen vanaf het internet. Op je bitwarden clients kun je dan eenvoudig via een beveiligde verbinding contact maken met je WW-kluis.

[capronicus]

Als tweaker is het zelf hosten nu niet echt supermoeilijk, op unraid draait het als een zonnetje alvast. Dagelijkse backup van de docker en automatische updates en veel onderhoud is er dan niet meer.

Je kan zoals andere aangeven de nginx reverse proxy gebruiken om er een url aan toe te wijzen en zo op afstand aan te kunnen melden, maar persoonlijk hang ik niet graag zaken aan het internet, dus mijn bitwarden is dan ook enkel te benaderen via een lokaal ip-adres, voor remote zet ik dan gewoon even mijn vpn aan.

[Dacuuu]

Volgens mij heb je normaal gesproken een cached vault, je hebt dan wel issues als je je kluis bewerkt.

[LightStar]

Klopt idd, je kan nog wel bij je wachtwoorden maar toevoegen wordt een ding, of je moet het ingesteld hebben dat je bij elke keer openen ook wil authentiseren dan kan het wel eens niet werken.

[MrMonkE]

Hoe lang kun je er bij, voor eeuwig of tijdelijk?

[LightStar]

Ik heb de Time-Out op nooit staan maar ik host hem dan ook thuis middels vaultwarden.., heb eens gehad (niet zo lang geleden) dat mijn proxy server het niet meer deed en dan kan je dus ook niet meer live bij de vaultwarden komen, toen heb ik uit voorzorg toen ik er nog offline bij kon een backup uit getrokken mocht die het gaan bedenken om op slot te gaan..

[Nark0tiX]

Niks aan de hand aangezien alles lokaal wordt opgeslagen op je device. Alleen afentoe syncen vanuit server.

[snoopdoge90]

Zou je denken, ik kreeg opeens een sessie verlopen melding, moest opnieuw inloggen, kreeg een lege vault en moest handmatig op kluis synchroniseren klikken (Bitwarden Desktop).

[Reactie gewijzigd door snoopdoge90 op 24 juli 2024 09:14]

[Nark0tiX]

dat is vreemd zal niet moeten !

[Wachten...]

Volgens mij is het wel zo dat het dan alleen een probleem is als je nieuwe dingen toe wilt voegen toch? Zover ik weet staat alles in cache en kun je het offline ook gebruiken....

[Rannasha]

Klopt. Ik host de boel zelf op m'n server en wanneer ik daar mee aan het rommelen ben en de boel is offline, dan blijven de apps en browser-plugins gewoon werken. Enkel syncen doet het dan eventjes niet.

[Bierkameel]

Misschien is inloggen een probleem maar ik kan gewoon mijn master password invoeren en bij mn gegevens.

[Christoxz]

Bitwarden werkt met een cache vault. Dus wel toegang, maar kan niet geupdated of gewijzigd worden.

[I_IBlackI_I]

Let op: dit gaat alleen over de PaaS variant!

[EnigmA-X]

...met de kanttekening dat de gratis/betaalde Bitwarden variant in de cloud een SaaS is.

[GieltjE]

Volgens de status pagina is alles al weer up, wel vermelden ze dat het ging om "Intermittent service degradation", klinkt als een DDOS o.i.d.

[Arvado]

Huh gisteren hadden ze storing. Toen werkte de webapp en de browser extenties niet. App op telefoon wel. Vandaag hele dag zonder problemen ermee kunnen werken.

[Snake]

VaultWarden lokaal! En geen probleem =)