Bitwarden brengt authenticatorapp voor 2fa uit

Bitwarden heeft een authenticatorapp voor Android en iOS uitgebracht. Met de app kunnen gebruikers eenmalige wachtwoorden, ook wel totp genoemd, genereren voor tweestapsverificatie.

De nieuwe Bitwarden Authenticator is gratis beschikbaar voor iedereen, ook als de wachtwoordmanager van Bitwarden niet gebruikt wordt. De app staat los van die manager, maar is eventueel ook te gebruiken om toegangscodes te genereren voor de wachtwoordmanager. Net als de wachtwoordmanager is de app open source. Repository's voor Android en iOS staan op GitHub.

In de toekomst moet Bitwarden Authenticator meer functionaliteit krijgen, valt in de roadmap te lezen. Binnenkort volgt bijvoorbeeld ook een importoptie en er komen opties om codes te synchroniseren met het Bitwarden-account en binnen de Bitwarden-vault.

Reacties (73)

[miitjohn]

Als standalone app ok, maar (indien de feature later beschikbaar wordt) 2FA ook synchen met je bitwarden account lijkt mij toch onnodig risico? Ik gebruik Google authenticator en die kan je sinds een jaar ook laten synchen met je google account. Desondanks ik zelf bitwarden gebruik, lijkt mij dat precies toch veiliger om die 2 gescheiden te houden. Google authenticator is tevens effortless, geen account nodig (tenzij je wilt synchen). En het synchen is slechts een een knop verschuiven en staat los van al de rest. Enige nadeel is misschien dat het invullen van de 2FA codes een manuele operatie is terwijl het met bitwarden dan automatisch zou kunnen ingevuld worden.

[demonic]

Je hebt volgens mij voor de 2fa-app geen account bij Bitwarden nodig.
Backups gaat via de phone OS backup functie.

Dit bied juist extra scheiding tussen Bitwarden de wachtwoordenkluis en de 2fa codes.
zowel wachtwoorden & 2fa kan je opslaan in bitwarden kluis. Maar nu kan je het dus juist ook los opslaan en zo dus voor die scheiding zorgen.

[xoniq]

Backups gaat via de phone OS backup functie.

Weet je dat zeker? Die fout heb ik eens gemaakt met de Google Authenticator. Ik ging daar vanuit; switchte telefoon, was ik al mijn 2FA codes kwijt voor Gmail, steam, en ga zo maar door. Flink werk geweest om weer werkbaar te maken. Blijkt dat die app bewust niet in de backup mee kwam.

[demonic]

Dat stond wel in hun eigen post.

How do I backup my data in Bitwarden Authenticator?

In this initial release, your data will be backed up through the mobile operating system's backup services. Please make sure your device is configured for backups. Bitwarden Authenticator data is included in the OS backups and will be restored with them.

https://bitwarden.com/blo...s-what-it-means-to-users/

[Vogel666]

je settings komen wel door in de app op je nieuwe elefoon, maar je nieuwe device is niet trusted door je applicatie. Je zal eerst via je oude telefoon (of andere wijze) je nieuwe device trusted moeten krijgen.

Het gaat een beetje tegen het concept MFA in als de 2e factor (device) zomaar vanuit ieder device ter wereld gefaked kan worden..

[xoniq]

Maar aan de andere kant ik vertrouw mijn iCloud backups waarvan m’n iCloud account ook 2FA vereist en iemand niet zomaar een complete backups vanuit mijn iCloud op een nieuwe iPhone kan zetten.

Dus ik vind dat een nieuwe iPhone met dezelfde Apple ID + iCloud gewoon ‘trusted’ moet zijn.

[GeroldM]

Nee, dat is niet juist. AppleID en iCloud zijn externe services. Apple zal deze best goed verzorgen qua veiligheid, maar voor jou en je telefoon zijn en blijven deze services extern. Je iPhone heeft echter een uniek IMEI nummer waaraan ook uniek MAC adres en een telefoonnummer is gekoppeld. Die gehele combinatie is wat veiligheid enigzins garandeert.

Mac adressen zijn echter relatief makkelijk te spoofen, IMEI is heel wat moeilijker maar ook niet onmogelijk te spoofen. Als jij nu op een verkeerde site inlogt dan kunnen die externe services ook gespoofd worden. Nu heeft men dus zo'n beetje al je belangrijkste data vastgelegd.

En dan wil jij dat elke telefoon die data kan gebruiken om in jouw accounts te duiken? Want dat lijkt jou gemakkelijker? Ja, voor jou, in je 'happy-flow' use-case zal dat inderdaad gemakkelijker zijn. Jouw telecom-, bank en Apple zien echter ook dat daardoor een behoorlijk gevaarlijk en administratief vervelende 'unhappy-flow' use-case ontstaat.

Dan is het een kwestie van prioriteit. Hoe hoog scoort jouw gemak tegen hun ongemak? Niet al te hoog, dat kan ik je alvast verzekeren. En uiteindelijk bewijzen die andere partijen jouw een dienst, zij beschermen jou tegen jezelf.

[beerse]

Groot gelijk dat je de opslag gescheiden wilt houden. Zelf heb ik de wachtwoorden en de totp gegevens ook in verschillende tools met verschillende sync.

De bitwarden wachtwoord opslag kan al je totp gegevens bevatten. Die opslag is daar dus al op voorbereid. Daarmee zou het wel handig kunnen zijn als de bitwarden authenticator deze in ieder geval als bron en/of centrale opslag kan gebruiken.

Wel is mijn bitwarden kluis met mfa beveiligd dus zou het niet handig zijn als de bitwarden authenticator daar dan weer van afhankelijk is. Dus die moet wel zonder probleem in ieder geval lokaal de opslag moeten hebben.

En ja, authy is gestopt met de desktop app. Google, microsoft en apple bieden elk hun eigen tool tegenwoordig met eigen sync in eigen omgeving. Dus er is beweging genoeg.

[secretqwerty10]

Google Authenticator is echter niet gesorteerd en heeft ook geen zoekfunctie, dus als je meerdere accounts hebt met 2FA, dan is het lekker zoeken! Zelf gebruik ik die ook trouwens, maar een zoekbalk zou echt heel handig zijn!

[miitjohn]

Je kan de entries toch een eigen naam geven? Ze blijven inderdaad wel staan op de positie waar ze initieel stonden, maar uiteindelijk leer je toch waar die zaken staan

[helldogbe]

Aegis al eens getest? Wel alleen voor Android jammer genoeg.

[Kjoe_Ljan]

Het is veiliger om de twee gescheiden te houden, wanneer je wachtwoord manager het slachtoffer van een aanval/lek.
Wanneer je wachtwoord wordt gelekt vanuit de site waarvoor je hem gebruikt, staat je 2FA informatie nog steeds veilig in je wachtwoordmanager. En dat is volgens mij precies waarvoor 2FA is bedacht: Dat je gelekte wachtwoorden niet direct toegang geven tot je accounts.

Maar inderdaad, het veiligst is om de twee gescheiden te houden.

[Hugo_ijslijk]

Het idee is dat de wachtwoordmanager zijn zaakjes beter op orde heeft dan een willekeurige website. Kans is groter dat je website wachtwoord ergens lekt, en dan maakt het niet uit waar je otp staat, zolang het maar ergens veilig is. Als het goed is, is je bitwarden account beveiligd met 2fa, dus daarmee zijn je wachtwoorden "voldoende" beveiligd lijkt mij

[JanFrituurpan]

Onlangs overgestapt op https://github.com/ente-io/ente/tree/main/auth#readme t.v.v. Authy. Ente Auth kent zowel een android client als een desktop (Windows) client en kan d.m.v. een account ook syncen.

[tullius]

Goeie app, gebruik ik ook. Design is ook beter!

[DBreda]

Ik ben een tevreden gebruiker van Bitwarden. Misschien dit ook eens gaan gebruiken ipv Authy.

[S1NN3D]

Je zou ook https://2fas.com/ kunnen proberen. Open-source, met sync. Gebruik ik al een tijd ipv Authy. Maar die van Bitwarden zal ik zeker ook eens testen.

[The Zep Man]

Bitwarden clients zijn opensource. Vaultwarden is een compatibel opensource serverimplementatie zonder beperkingen.

[S1NN3D]

Klopt, gebruik zelf Vaultwarden ook in een Docker container.

Ik doelde op het voordeel van open-source 2FAS t.o.v. van closed-source Authy.

[Reactie gewijzigd door S1NN3D op 22 juli 2024 15:51]

[PaulHelper]

Dit wilde ik ook zeggen, had een tijd Authy mede vanwege desktop sync, ja het was niet goed voor beveiliging maar beter dan geen 2FA dus ik deed het ermee. Toen ik over ging op 2FAS was ik blij, het is op zoveel manieren beter en meer open en transparant over wat ze doen. Daarnaast kan het auto invullen via extensie waardoor je simpel kan aanvragen, je telefoon accepteren en dan typt hij het zelf voor je in. Volgens mij is dat nog steeds zeer veilig met het gemak wat ik altijd al wilde (nog beter dan Authy met desktop app).
Alleen hierom al zal ik zeker voor nu bij 2FAS blijven voor 2FA, maar bitwarden is een hele goede password manager en goed bedrijf dus wellicht als dit volwassen is en dat soort ease of use functies heeft ga ik het proberen.
Al vind ik de backup mogelijkheid naar Google Drive ook wel een key feature, dus het liefst zou ik iets soortgelijks in bitwarden 2FA terug willen zien.

[guillaume]

Authy is wat mij betreft een ramp voor het idee van 2FA

• Authy is proprietary
• Increased attack surface due to cloud sync
• Authy already has been hacked, leaking user data (August 2022)
• Vendor lock-in: a complete lack of export features, even though there used to be a way (https://gist.github.com/g...1a6209c82418d01a59d958c93) and the risk of completely getting yourself locked out of your accounts if you delete your Authy account: https://gist.github.com/g...29538#gistcomment-4829538
• The discontinuation of their desktop solutions (March 19), even earlier than previously announced (August)
• Uncertain future of the company: several rounds of significant amounts of layoffs have been seen over the last few years

[beerse]

Pas wel op dat je de mfa om bitwarden te openen ook zonder het openen van bitwarden kan oproepen.

[crunchytail]

Zodra synchronisatie wordt toegevoegd vind ik het een interessante optie.

[Jazco2nd]

Maar dan als je cloud wordt gehackt hebben mensen in 1x je wachtwoord én je 2FA codes! Dan kan je net zo goed stoppen met 2FA gebruiken toch?

[Yggdrasil]

Nee, je hebt immers nog steeds het voordeel van 2FA op allerlei websites. Als iemand dus je Facebook account wil aanvallen is dat moeilijker geworden wanneer ze niet weten dat je Bitwarden gebruikt. Als ze dat wél weten moeten ze óók je Bitwarden account kraken voordat ze je Facebook 2FA token hebben. Ja, je Bitwarden account wordt een single-point-of-failure, maar dat kun je heel sterk beveiligen (zoals een uniek zeer sterk wachtwoord, hardware 2FA token zoals een Yubikey, geo-blocklist, etc.)

Je verplaatst dus de tientallen losse 2FA implementaties van allerlei websites naar Bitwarden. Daardoor ben ik eerder geneigd 2FA in te schakelen op alle websites. Het is in de praktijk niet te doen om die allemaal in een Yubikey te zetten en daar ook nog eens een reserve key bij te houden.

[Jazco2nd]

Volgens mij werkt Yubikey momenteel juist niet met Bitwarden.

Mijn punt is inderdaad dat je bewust een single point of failure creëert. Ze hoeven maar 1 database te hacken. Sterker nog, ze hoeven die zware encryptie nieteens te kraken. Slechts toegang tot je database is al voldoende voor een ransomware aanval. Waarbij jouw versleutelde database gewoon doodleuk door de aanvaller wordt versleuteld en je niet meer bij je wachtwoorden én je 2FA kan.

[Reactie gewijzigd door Jazco2nd op 22 juli 2024 15:51]

[Shinji]

Hebben ze Yubikey support er uit gesloopt dan? Had dat wel altijd namelijk (wel premium vereist) op mijn docker instance (Vaultwarden). En online kon het toen ook in elk geval.

Na mijn migratie van on prem naar online nog niet aangezet alleen.

[RobertMe]

Volgens mij werkt Yubikey momenteel juist niet met Bitwarden.

Werkt prima. Gebruik het zelf met 2FA via Webauthn om in Bitwarden te komen. En uiteraard kun je ook 2FA via TOTP doen met de YubiKeys die TOTP ondersteunen (doe ikzelf oo een aantal plekken).

Waarbij jouw versleutelde database gewoon doodleuk door de aanvaller wordt versleuteld en je niet meer bij je wachtwoorden én je 2FA kan.

Bitwarden cacht lokaal. Dus als de server is aangevallen en de database aldaar niet meer beschikbaar is kun je nog steeds (een tijd?) lokaal de wachtwoorden inzien. En als je lokale device "gehackt" is staat de boel natuurlijk sowieso nog op de server.
En als je Bitwarden (of Vaultwarden) dan selfhosted hebt dan zorg je natuurlijk ook ervoor dat je backups hebt (van bv de database dus, zodat je later een nieuwe server / instance kunt opzetten met de oude database).
En gezien het "zero trust" model kun je die database ook onversleuteld ergens bewaren (USB stick die je aan keychain draagt, cloud, ...). Immers bevat de database voor 99% alleen maar versleutelde data die je alleen met het master password kunt ontsleutelen (/master password geeft toegang tot de encryption key). Dit i.t.t. sommige andere password managers die alleen de wachtwoorden versleuteld opslaan. En bij een lek van de database de usernames, URLs etc zo zijn in te zien.

[BIM]

Volgens mij werkt Yubikey al een hele tijd met Bitwarden (zou niet weten waarom ik hem anders in mijn pc stop als ik bitwarden wil openen )

[beerse]

Er zijn zo veel verschillende yubikey versies en varianten, het is vooral de vraag welke yubikey er wordt ondersteunt.

En dan is er nog de vraag hoe het wordt ondersteund: Volgens mij kan je de meeste/courante/huidige yubikeys wel gebruiken om je bitwarden kluis mee af te sluiten. Maar kan je bitwarden niet gebruiken om de secrets van de yubikey op te slaan. Iets wat met de passkeys bijvoorbeeld wel kan.

[Shinji]

Als ik bijvoorbeeld zou stoppen met 2FA voor dienst x dan is er helemaal geen tweede factor nodig. En kunnen ze in mijn account als ze mijn wachtwoord achterhalen op een andere manier dan Bitwarden te hacken. Dat is minder veilig dan dat er wel een tweede factor nodig is die ook in Bitwarden staat. Los is inderdaad nog beter.

[Tassadar32]

Dat kan met de bestaande Bitwarden password manager al. Dit is een losstaande app die juist niet gesynchroniseerd werkt voor die 2FA codes die je echt hard aan een fysiek apparaat wil koppelen.

[GertMenkel]

Daar zit wel de opmerking bij dat die functie alleen aan staat voor mensen/bedrijven met een licentie, of een alternatieve backend (zoals Vaultwarden, waar de meeste tweakers gebruik van zullen maken denk ik). De gratis versie heeft TOTP voor zover ik weet niet.

[beerse]

Je bedoelt zoals authy dat doet? Met alleen maar de 2fa/mfa keys? Dat is wel reëel. Gezien authy de desktop-app uit de ondersteuning heeft gehaald, valt daar wel een gat in te vullen. Een verbeterpuntje ten opzichte van authy: zelf een opslag-locatie kunnen bepalen.

Of zoals steeds meer wachtwoord systemen (zoals bitwarden zelf) dat doen, inclusief de rest van je gegevens? Daar, bij bitwarden bijvoorbeeld, zie ik de uitdaging. Mijn bitwarden is met mfa geblokkeerd. Dan wordt het een uitdaging als de mfa uit bitwarden moet komen. Dus ja, deze app is welkom

Uiteindelijk zou de bitwareden-auithenticator-app de bitwarden-kluis als sync kunnen gebruiken. Daar zie ik geen probleem, sterker, voor de sync is een mfa wel welkom. Dat de bitwarden-authenticator-app haar eigen lokale opslag heeft en die alleen maar synct na openen van de bitwarden kluis zelf.

Met dat ik dat opschrijf besef ik dat daarna dus alle toegangs codes in de zelfde bitwarden kluis staan. Niet iedereen vind dat even veilig. Maar dat station is al gepasseerd toen de totp gegevens in bitwarden konden worden opgeslagen.

Gelukkig kan bitwarden ook met passkey beveiligd worden... en ook die passkeys opslaan en synchroniseren... Het spinneweb van beveiligings methodes wordt alleen maar groter.

[Rhinosaur]

Vanuit security perspectief is het juist veiliger dat het geen verbinding maakt met het internet. Je kan als premium gebruiker van Bitwarden ook gebruik maken van TOTP, maar eigenlijk heb je een soort 1,5FA in plaats van 2FA aangezien alles met één wachtwoord/2FA bereikbaar is. Een goed FOSS alternatief op Android is Aegis.

[Tassadar32]

Maar dat maakt het lekken van wachtwoorden van een individuele service nog steeds minder erg aangezien er de laag van authenticatie in Bitwarden nog voor zit.

[Snowpop]

De bitwarden 2fa app staat los van je bitwarden account dus voor de app geldt dat niet. Voor de TOTP generator in de PW manager zelf natuurlijk wel

[ikt]

Ik hoop er zeer op dat de authenticator een alternatieve login toestaat - dan zou het ideaal zijn om mijn TOTP functionaliteit binnen Bitwarden zelf te verhuizen naar de (gesyncte) Authenticator alleen - maar dan met een ander wachtwoord. Als SHTF hebben ze niet meteen wachtwoorden én authenticatie - beter nog, kan ik 2FA voor Bitwarden aanzetten via Authenticator

[kingtim]

Ik ben een hele blije gebruiker van bitwarden premium. Heb daar ook m'n 2FA in zitten (waar de meningen over verdeeld zijn).

Vind het goed dat ze bezig zijn met 2FA beter bruikbaar te maken.

[Tassadar32]

Met passkeys zou 2FA straks helemaal niet meer nodig hoeven te zijn. Helaas gaat de adoptie daarvan nog maar traag.

[kingtim]

Ik moet zeggen dat ik 2FA adoptie al vrij waardeloos vind/vond. Genoeg websites waar 't onmogelijk is deze in te stellen. (laat staan afdwingen).

[helldogbe]

Een v/d grote Belgische brokers biedt nog steeds geen 2FA aan.

Gelukkig is daar nog iets van vangnet dat je niet naar gelijk welk rekeningnummer geld kan overschrijven, maar men kan toch serieuze schade toebrengen aan je beleggingsportefeuille.

[RobertMe]

De kans is natuurlijk best aanwezig dat deze app ook passkeys ondersteuning zal krijgen. Immers ondersteund de password manager het ook al in de browser extensie*.

* Bij de Android & iOS kunnen ze dit klaarblijkelijk nog niet ondersteunen doordat deze gebouwd zijn in Xamarin, en die en deprecated / EOL is en deze feature niet ondersteund. Op korte termijn zou er een "nieuwe" app komen die gemaakt is met de opvolger van Xamarin, waarin deze ondersteuning wel zit. En later, dit jaar nog, zou er een volledig nieuwe native app komen.

[Wienen]

@kingtim Ook ik ben enige tijd geleden premium gebruiker geworden i.v.m. de toegevoegde TOTP functie. Ik vind het zeer prettig dat de code al automatisch naar het clipboard gekopieerd wordt en dus direct geplakt kan worden.

Zoals je al aangeeft zijn de meningen verdeeld, ik ben dan ook nog steeds in dubio of het gemak niet een te groot risico met zich meebrengt omdat alles binnen 1 app zit.

Mijn beredenering van het beperken van het risico;
- Bitwarden staat enkel op m'n telefoon en pc, voor beide is FaceID of een complexe pincode nodig om toegang te krijgen
- Eenmaal ingelogd op de devices heb je nog steeds FaceID of een pincode nodig om in de kluis van Bitwarden te komen
- Mijn Bitwarden is beveiligd met een zeer complex wachtwoord
- 2FA voor Bitwarden staat in een seperate authenticator app

Hoe groot is dan nog het risico? Of zie ik iets over het hoofd?

[kingtim]

Ik heb dezelfde redeneringen hoor! Enige wat ik er bij kan toevoegen is: als iemand mn telefoon te pakken krijgt met toegang tot mn bitwarden (op miraculeuze wijze) dan ben ik toch de Sjaak want mn andere 2fa app hebben ze dan ook.

Enige aanvalspunt waar ik mij zorgen over maak is dat àlles bij bitwarden zit. Dus als hun servers worden gehackt dan ben je wel echt de pineut. Maar volgens mij doen ze hard hun best om alles encrypted achter te laten .

[Snade]

Toevallig net van Authy naar 2FAS geswitched.

Gebruik al Bitwarden als password manager. Is het wel verstanding om dan ook nog je 2FA tokens daar via te laten lopen?

[RobertMe]

Het is veiliger dan geen 2FA, maar onveiliger dan 2FA in de password manager. Immers heb je in het laatste geval een single point of failure / single point of entry. Krijgt een kwaadwillende toegang tot de password manager dan kan die immers overal inloggen, als de TOTP (/"2FA code") er bij staat.

Maar dan nog is het afhankelijk van de situatie. Als iemand in je password manager komt doordat die bv toegang heeft verkregen tot jouw telefoon en je hebt daarop ook de 2FA app dan heeft diegene natuurlijk ook toegang tot in ieder geval die app (die je dan hopelijk met een wachtwoord / PIN / ... hebt beveiligd die niet in de password manager staat).

[logix147]

Meeste 2fa programma’s hebben een wachtwoord die je anders in KAN stellen dan je toegang van je telefoon.

Als je in iemands telefoon kan heb je toch al vaak kassa, dan kan je wel op andere manieren een flinke breuk veroorzaken. Denk aan iemands mail, zakelijke mail - legio aan opties.

Hier thuis is geregeld dat ik vanaf elk device een ander device kan overnemen, hetzij met toestemming en dat ik een ander device in gestolen/lost modus kan zetten. Dat scheelt een hoop.

Ik moet nog iets bedenken als alternatief voor Authy, al vind ik hun command line tool wel weer handig.

Beveilig is een keuze tussen comfort en praktisch - als ik het thuis te moeilijk maak word het niet gebruikt. Wat ik als einduser snap.

[Mayonaise]

Wat ik doe is om kritieke accounts (overheid, social media, banken, emails e.d.) in 2FAS, al de rest plaats ik in mijn wachtwoordmanager.

[JakkoFourEyes]

Ik gebruik al een tijdje Aegis voor mijn 2FA, maar dit is misschien ook wel een interessante

[helldogbe]

Net even vergeleken en dit zijn enkele functies die Aegis biedt en Bitwarden Authenticator mist:
* versleutelde export
* groeperen per label
* sorteren (naam, uitgever, meest gebruikt, laatst gebruikt)
* unlock met master password ipv biometrics
* app automatisch minimaliseren na aantikken code om te kopiëren
* enkel de code tonen aantikken
* voorkomen van schermopnames
* kluis verwijderen door panic trigger met Ripple

[spokje]

Voor iemand die weinig kaas gegeten heeft van Github, hoe krijg ik hier een APK uit voor Android?

[Hugo_ijslijk]

Bij Releases aan de rechterzijde op de laatste klikken, en daar kan je de apk downloaden. Maar hij staat ook in de play store: https://play.google.com/s...m.bitwarden.authenticator

[spokje]

Ah goeie ja indd, thx!

[anzaya]

https://play.google.com/s...m.bitwarden.authenticator

[spokje]

Oh logisch wel haha. thx

[logix147]

Ik vind het wel fijn dat mijn 2FA codes van bepaalde diensten niet in dezelfde kluis zitten als mijn wachtwoorden dus ik zie dit wel als een toevoeging.

[GEi]

Met het gevaar dat er meer alternatieven worden genoemd en er niet op de inhoud van dit artikel wordt ingegaan; Enpass, the way to go (for me). Kan het echt iedereen aanraden. Bevat alles wat je nodig hebt.

[PaulHelper]

Heb dit ook al een keer zien voorbij komen. Heeft enpass nog voordelen ten opzichte van 2FAS? Ik gebruik nu 2FAS en bevalt erg goed. En gebruik je enpass alleen voor 2FA of ook als algehele passwordmanager?

[GEi]

Ik gebruik Enpass primair als wachtwoord manager. Maar ook 2FA en keypass. En inmiddels zit er ook een kopie in van id-kaart, rijbewijs en meer.