Bitwarden implementeert Argon2id
https://bitwarden.com/help/kdf-algorithms/#argon2id
Dit had al veel eerder kunnen en moeten gebeuren, maar het gebeurde toch steeds maar niet (tot de recente LastPass breach de zaak in een stroomversnelling bracht).
Groet, Pelikas Wikkel
In een post daaronder wijs ik op een blog van Wladimir Palant waaruit blijkt dat Bitwarden, vooral bij oudere accounts, met een relatief klein aantal iteraties bij de PBKDF2 Key Derivation Function (KDF) kan werken, waarbij een handmatige actie nodig is om dit beter te beveiligen (zie https://tweakers.net/downloads/63460/bitwarden-202320.html?showReaction=18470514#r_18470514 van Tweaker 3raser met een link naar een Bitwarden "how to").
Goed punt Erik, dat bedoelde ik met 'alles vanaf 2023.2' maar het risico van jezelf uitsluiten bleef onderbelicht.
Groet, Pelikas
Dit is een belangrijk punt inderdaad, om die reden is bijwerken naar 2023.2 aanbevolen. Daarna in de webversie van je kluis het hashingalgorithme aanpassen naar Argon2id. De standaard instellingen van Bitwarden voor dit algoritme zijn hoger dan de aanbevelingen van OWASP.
Ook als je het algoritme niet aanpast, maar PBKDF2 blijft gebruiken is het verstandig om het aantal iteraties te checken (moet gelijk of meer zijn dan 600.000). Had dit zelf op 2.000.000 staan (meer uit nieuwsgierigheid dan dat dat werkelijk noodzakelijk zou zijn) zonder enig probleem.
https://bitwarden.com/help/kdf-algorithms/
Pelikas
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
