Bitwarden implementeert Argon2id
https://bitwarden.com/help/kdf-algorithms/#argon2id
Dit had al veel eerder kunnen en moeten gebeuren, maar het gebeurde toch steeds maar niet (tot de recente LastPass breach de zaak in een stroomversnelling bracht).
Groet, Pelikas Wikkel
In een post daaronder wijs ik op een blog van Wladimir Palant waaruit blijkt dat Bitwarden, vooral bij oudere accounts, met een relatief klein aantal iteraties bij de PBKDF2 Key Derivation Function (KDF) kan werken, waarbij een handmatige actie nodig is om dit beter te beveiligen (zie https://tweakers.net/downloads/63460/bitwarden-202320.html?showReaction=18470514#r_18470514 van Tweaker 3raser met een link naar een Bitwarden "how to").
Goed punt Erik, dat bedoelde ik met 'alles vanaf 2023.2' maar het risico van jezelf uitsluiten bleef onderbelicht.
Groet, Pelikas
Dit is een belangrijk punt inderdaad, om die reden is bijwerken naar 2023.2 aanbevolen. Daarna in de webversie van je kluis het hashingalgorithme aanpassen naar Argon2id. De standaard instellingen van Bitwarden voor dit algoritme zijn hoger dan de aanbevelingen van OWASP.
Ook als je het algoritme niet aanpast, maar PBKDF2 blijft gebruiken is het verstandig om het aantal iteraties te checken (moet gelijk of meer zijn dan 600.000). Had dit zelf op 2.000.000 staan (meer uit nieuwsgierigheid dan dat dat werkelijk noodzakelijk zou zijn) zonder enig probleem.
https://bitwarden.com/help/kdf-algorithms/
Pelikas
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
