Bitwarden komt met extra beveiliging voor accounts zonder 2FA
Wachtwoordmanager Bitwarden heeft extra beveiliging aangekondigd voor accounts die geen gebruikmaken van tweefactorauthenticatie (2FA). Wanneer deze gebruikers straks vanaf een onbekend apparaat op hun account inloggen moeten ze een one-time verificatiecode invoeren die naar hun e-mailadres is gestuurd. Wanneer er wordt ingelogd via een eerder gebruikte app of browser-extensie zal het verzoek om de code niet verschijnen.
Wanneer gebruikers cookies verwijderen of de mobiele of desktop-app verwijderen en opnieuw installeren zal er opnieuw om de code worden gevraagd. De wachtwoordmanager adviseert gebruikers zonder 2FA dan ook om te controleren dat ze toegang tot hun e-mailaccount hebben, omdat ze anders niet meer op hun wachtwoordkluis kunnen inloggen. Gebruikers die hun e-mailadres niet met Bitwarden willen delen wordt aangeraden 2FA in te stellen, een forwardingdienst te gebruiken of de wachtwoordmanager zelf te hosten. De beveiligingsmaatregel wordt volgende maand ingevoerd.
Bovendien zijn de wachtwoorden die ik gebruik voor mijn e-mail accounts (12 tekens random alfanumeriek) precies wat je in een wachtwoordkluis op wil slaan. Dat doe ik niet. Ik schrijf ze op om account lockout te voorkomen.
Als je wachtwoord voor je email account alleen in Bitwarden opgeslagen staat dan heb je kans om buitengesloten te worden wanneer je bijvoorbeeld je telefoon verliest en met een nieuw telefoon of PC weer toegang wilt tot Bitwarden (of email) want je hebt zowel je wachtwoord van Bitwarden als email nodig om bij Bitwarden binnen te komen (en Bitwarden om bij je email te komen)
Als je wachtwoord voor je email account alleen in Bitwarden opgeslagen staat dan heb je kans om buitengesloten te worden wanneer je bijvoorbeeld je telefoon verliest en met een nieuw telefoon of PC weer toegang wilt tot Bitwarden (of email) want je hebt zowel je wachtwoord van Bitwarden als email nodig om bij Bitwarden binnen te komen (en Bitwarden om bij je email te komen)
Goed punt. Daarom bewaart mijn partner mijn ww in haar kluis, en andersom.
Als je wachtwoord voor je email account alleen in Bitwarden opgeslagen staat dan heb je kans om buitengesloten te worden wanneer je bijvoorbeeld je telefoon verliest en met een nieuw telefoon of PC weer toegang wilt tot Bitwarden (of email) want je hebt zowel je wachtwoord van Bitwarden als email nodig om bij Bitwarden binnen te komen (en Bitwarden om bij je email te komen)
Goed punt. Daarom bewaart mijn partner mijn ww in haar kluis, en andersom.
Pro-tip : insiders hebben gewoon _veel_ meer motief (en kennis) voor security (en trust) breaches dan "boze onbekende hackers" .
Dat een (inmiddels) ex-partner er vandoor is met waardevolle zaken is zo oud als de wereld.
tamper-evident (verzegelde enveloppen enzo) als je dingen fysiek bewaart, of hard nadenken over wat je doet qua versleuteling .
Of geloven dat je relatie met je sleutelbewaarder altijd blijft wat ie is.
Bovendien zijn de wachtwoorden die ik gebruik voor mijn e-mail accounts (12 tekens random alfanumeriek) precies wat je in een wachtwoordkluis op wil slaan. Dat doe ik niet. Ik schrijf ze op om account lockout te voorkomen.
Deze functie kan dan ook niet worden gebruikt om je bitwarden wachtwoord te resetten, het is een extra verificatie voor het kunnen inloggen op bitwarden vanaf apparaten waarop je dit nog niet eerder hebt gedaan. Bitwarden verplicht hiermee een (zwakke) vorm van 2FA voor iedereen.
Bovendien zijn de wachtwoorden die ik gebruik voor mijn e-mail accounts (12 tekens random alfanumeriek) precies wat je in een wachtwoordkluis op wil slaan. Dat doe ik niet. Ik schrijf ze op om account lockout te voorkomen.
Deze functie kan dan ook niet worden gebruikt om je bitwarden wachtwoord te resetten, het is een extra verificatie voor het kunnen inloggen op bitwarden vanaf apparaten waarop je dit nog niet eerder hebt gedaan. Bitwarden verplicht hiermee een (zwakke) vorm van 2FA voor iedereen.
Zo kan je het zien. Maar iemand die ook je wachtwoord heeft kan toegang tot je wachtwoordkluis resetten. Nu kan een aanvaller dit ook zonder dat 2FA actief is, maar dan heb je het zelf in de hand (beveilig je devices en kies een goed wachtwoord). Je e-mail adres is een single point of failure. Raak je e-mail kwijt en je bent de toegang tot al je accounts kwijt.
Anoniem 17:23
Als je wachtwoord voor je email account alleen in Bitwarden opgeslagen staat dan heb je kans om buitengesloten te worden wanneer je bijvoorbeeld je telefoon verliest en met een nieuw telefoon of PC weer toegang wilt tot Bitwarden (of email) want je hebt zowel je wachtwoord van Bitwarden als email nodig om bij Bitwarden binnen te komen (en Bitwarden om bij je email te komen)
Goed punt. Daarom bewaart mijn partner mijn ww in haar kluis, en andersom.
Pro-tip : insiders hebben gewoon _veel_ meer motief (en kennis) voor security (en trust) breaches dan "boze onbekende hackers" .
Dat een (inmiddels) ex-partner er vandoor is met waardevolle zaken is zo oud als de wereld.
tamper-evident (verzegelde enveloppen enzo) als je dingen fysiek bewaart, of hard nadenken over wat je doet qua versleuteling .
Of geloven dat je relatie met je sleutelbewaarder altijd blijft wat ie is.
Je bent altijd te laat wanneer het gebeurd. Dus moet niet onderschat worden. Er staan veel verhalen online over dit soort dingen waar ex het leven van partner kapot maakt.
Weet ook dat bij Bitwarden je wachtwoord zeer belangrijk is en het enige middel is dat gebruikt wordt om je kluis te versleutelen (2FA doet dit niet). In het geval dat (hoe dan ook) Bitwarden's servers in slechte handen vallen waarbij directe toegang is tot de versleutelde kluis, dan is het wachtwoord alleen genoeg om toegang te krijgen. Dit maakt 2FA niet onbelangrijk want het blijft belangrijk bij alle online aanvallen die gedaan worden op de website of app.
Deze posting is gelocked. Reageren is niet meer mogelijk.
(Senior) Informatie Beveiligingsadviseur - CISO Office
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
Wil jij je op strategisch niveau bezighouden met de beveiliging van informatie waar niets mee fout mag gaan? Wij geven jou volop gelegenheid om samen met deskundige collega’s te werken aan beleid, procedures, advies, risicomanagement, metrics en projecten rond informatiebeveiliging.
Wij zoeken een Junior DevOps Engineer!
Ben jij nieuwsgierig, leergierig en klaar om je te verdiepen in de wereld van DevOps? In deze functie krijg je alle ruimte om te groeien. Je werkt met de nieuwste technologieën en krijgt intensieve begeleiding van ervaren security professionals zodat je je in korte tijd kunt ontwikkelen tot een volwaardige DevOps Engineer. Je werkt in Den Haag en werkt samen met een team dat kennis, humor en uitdaging moeiteloos weet te combineren. Are you ready for a challenge?