Passkeys in Vaultwarden: Was funktioniert und wie aktiviert man FIDO2?

Passkeys ermöglichen den Zugriff auf kompatible Dienste mithilfe eines Sicherheitsschlüssels, biometrischer Gerätedaten oder einer PIN und vermeiden so die Abhängigkeit von Passwörtern, die leicht durch Phishing gestohlen werden können. Vaultwarden kann diese im Tresor speichern und auch FIDO2/WebAuthn-Zugangsdaten verwenden, um einen Passkey hinzuzufügen. zweite Überprüfung beim Einloggen.

Es ist jedoch wichtig, diese Funktionen zu unterscheiden. Vaultwarden ist ein alternativer Server, der mit Bitwarden-Clients kompatibel ist, aber nicht automatisch alle Funktionen des offiziellen Servers implementiert. Derzeit können Sie Passkeys für andere Websites speichern und Vaultwarden mit FIDO2 schützen, aber Das Masterpasswort kann nicht vollständig ersetzt werden. mit einem Passkey den Tresor starten und entschlüsseln.

Diese Anleitung setzt voraus, dass das System bereits betriebsbereit ist. Falls Sie es noch nicht eingerichtet haben, müssen Sie dies zuerst tun... Installieren Sie Vaultwarden mit Docker und konfigurieren Sie HTTPS..

Was bedeutet die Verwendung von Passkeys in Vaultwarden?

Der Begriff „Passkey“ taucht in verschiedenen Bereichen der Bitwarden-Clients auf, hat aber nicht immer dieselbe Bedeutung. In Vaultwarden sind drei Szenarien zu unterscheiden.

Funktion	Verfügbarkeit in Vaultwarden	Wozu dient es?
Passwörter von anderen Websites speichern	Ja	Greifen Sie mit einem im Tresor gespeicherten Passkey auf Google, GitHub oder andere Dienste zu.
FIDO2/WebAuthn als zweiter Faktor	Ja	Bestätigen Sie den Zugriff auf Vaultwarden nach Eingabe der E-Mail-Adresse und des Master-Passworts.
Starten und entschlüsseln Sie Vaultwarden mit einem Passkey	NEIN	Ersetzen Sie E-Mail-Adresse und Master-Passwort und entsperren Sie die Verbindung mit einem PRF-Anmeldeinformationsblatt.

Vaultwarden hat Unterstützung für hinzugefügt Passwörter von anderen Websites speichern und verwenden über offizielle Bitwarden-Erweiterungen. Diese Anmeldeinformationen werden als Teil der Vault-Anmeldeelemente synchronisiert.

Es unterstützt außerdem die Zwei-Faktor-Authentifizierung mit FIDO2/WebAuthn. In diesem Fall geben Sie zuerst Ihre E-Mail-Adresse und Ihr Master-Passwort ein und bestätigen anschließend Ihre Identität mit einem physischen Schlüssel, Windows Hello oder einem anderen kompatiblen Authentifizierungsdienst.

Die dritte Möglichkeit, die in Bitwarden so genannt wird Anmelden und mit Passkeys entsperrenEs erfordert zusätzliche Serverendpunkte und Unterstützung für die PRF-Entschlüsselung. Vaultwarden implementiert diese Funktionen noch nicht, obwohl der Webclient möglicherweise vorübergehend Schaltflächen oder Einstellungen zu dieser Funktion anzeigt.

Was Sie zum Einrichten von FIDO2 in Vaultwarden benötigen

Um einen Passkey als zweiten Faktor zu verwenden, müssen Sie den Server und das Gerät, von dem aus Sie ihn registrieren werden, entsprechend vorbereiten.

• Eine aktuelle Version von Vaultwarden und der Bitwarden-Client.
• Zugriff auf den Web-Tresor über eine stabile Domain.
• Eine HTTPS-Verbindung mit einem gültigen Zertifikat.
• Die Variable DOMAIN Mit der korrekten öffentlichen Adresse konfiguriert.
• Ein mit WebAuthn kompatibler Browser.
• Ein physischer Schlüssel oder ein kompatibler FIDO2-Authenticator.
• Das Masterpasswort für das Konto.

Der Web-Vault benötigt eine sichere Umgebung für die Nutzung von Web Crypto und WebAuthn. Daher kann der Zugriff über eine IP-Adresse via HTTP verhindern, dass der Browser die Anmeldeinformationen erstellt oder verwendet.

Die Variable DOMAIN muss mit der Adresse übereinstimmen, die zum Anmelden bei Vaultwarden verwendet wurde:

DOMAIN=https://vault.ejemplo.com

Registrieren Sie den Schlüssel nicht mit einer temporären Domain, die Sie später ändern möchten. WebAuthn-Anmeldeinformationen sind an die Domain des Dienstes gebunden und funktionieren möglicherweise nicht mehr, wenn sich die Website-Kennung ändert.

So aktivieren Sie einen Passkey als zweiten Faktor

Die Konfiguration muss über den Web-Vault erfolgen, nicht über das Vaultwarden-Administrationspanel.

1. Öffnen Sie den Web-Tresor über seine HTTPS-Adresse.
2. Melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Master-Passwort an.
3. Eingeben Einstellungen > Sicherheit.
4. Wählen Zweistufige Anmeldung.
5. Halten Sie nach der Option Ausschau. Passkey o FIDO2 WebAuthn.
6. Drücken Verwalten.
7. Bitte bestätigen Sie Ihr Masterpasswort erneut.
8. Geben Sie einen Namen ein, der das Gerät identifiziert.
9. Wählen Sie die Option zum Registrieren oder zum Auslesen des Schlüssels.
10. Führen Sie die vom Browser angeforderte Überprüfung durch.
11. Änderungen speichern.

Als Authentifizierungsmethode können ein USB- oder NFC-Schlüssel, Windows Hello, die Biometrie des Geräts oder ein kompatibler Passkey-Manager verwendet werden. Die konkreten Optionen hängen vom Browser, Betriebssystem und den verfügbaren Geräten ab.

Wenn der Browser versucht, automatisch einen anderen Authentifizierungsdienst zu verwenden, suchen Sie nach einer Option wie Versuchen Sie es auf einem anderen Weg., Weitere Optionen Oder drücken Sie die Taste, um abzubrechen und eine andere Taste auszuwählen.

Nach der Registrierung der Anmeldeinformationen fordert Vaultwarden weiterhin das Masterpasswort an. Der Passkey dient als zweiter Authentifizierungsschrittnicht als Ersatz für das Passwort.

So speichern Sie den Wiederherstellungscode

Wenn Sie eine Zwei-Faktor-Authentifizierung aktivieren, müssen Sie den Wiederherstellungscode sofort speichern. Andernfalls kann der Verlust Ihres Schlüssels oder Geräts dazu führen, dass Sie dauerhaft keinen Zugriff mehr auf Ihren Tresor haben.

1. Offen Einstellungen > Sicherheit.
2. Eingeben Zweistufige Anmeldung.
3. Wählen Wiederherstellungscode anzeigen.
4. Geben Sie das Masterpasswort ein.
5. Kopieren oder drucken Sie den angezeigten Code.

Speichere es ab außerhalb des Gewölbes selbstEine gedruckte Kopie im Tresor oder eine verschlüsselte Datei auf einem nicht angeschlossenen Gerät vermeidet das Problem, sich bei Vaultwarden anmelden zu müssen, um wieder Zugriff auf Vaultwarden zu erhalten.

Wenn Sie den Wiederherstellungscode verwenden, wird die Zwei-Faktor-Authentifizierung für das Konto deaktiviert. Das System generiert dann einen neuen Code, den Sie ebenfalls speichern sollten.

So testen Sie Passkey, ohne Ihr Konto zu sperren

Schließen Sie nicht sofort alle Sitzungen, nachdem Sie FIDO2 konfiguriert haben. Lassen Sie den Tab, den Sie zur Registrierung verwendet haben, geöffnet und verwenden Sie ein anderes Fenster, um den Zugriff zu überprüfen.

1. Die aktuelle Sitzung muss geöffnet und entsperrt bleiben.
2. Öffnen Sie ein privates Fenster oder einen anderen Browser.
3. Greifen Sie auf die übliche Vaultwarden-Domäne zu.
4. Geben Sie Ihre E-Mail-Adresse und Ihr Master-Passwort ein.
5. Führen Sie die FIDO2-Prüfung durch, sobald sie angezeigt wird.
6. Überprüfen Sie, ob der Tresor korrekt synchronisiert ist.

Wenn der Test fehlschlägt, können Sie zur ursprünglichen Sitzung zurückkehren und den Authentifikator entfernen oder neu registrieren, ohne auf den Wiederherstellungscode angewiesen zu sein.

Es ist außerdem ratsam, ein/eine zu haben alternative ZweitfaktormethodeEs könnte sich um einen weiteren physischen Schlüssel oder eine auf einem separaten Gerät gespeicherte TOTP-Anwendung handeln.

Warum erlaubt Vaultwarden nicht die Anmeldung nur mit einem Passkey?

Der offizielle Server von Bitwarden ermöglicht die Authentifizierung Ihres Kontos mit einem Passkey und, sofern Ihr Browser und Authenticator PRF unterstützen, auch die Entschlüsselung Ihres Tresors. So können Sie sich anmelden, ohne Ihre E-Mail-Adresse oder Ihr Master-Passwort einzugeben.

Dieses System muss zusätzliche Informationen speichern, die mit den Anmeldeinformationen verknüpft sind, wie beispielsweise den Verschlüsselungsschlüssel für das durch PRF geschützte Konto. Dies ist nicht nur eine visuelle Funktion des Webclients: Es erfordert außerdem spezifische Serverunterstützung..

Vaultwarden verfügt derzeit nicht über die notwendigen Endpunkte, um diese Registrierung abzuschließen. Wenn der Client daher den Abschnitt anzeigt Mit Passkey anmeldenBeim Aktivieren können 404-Fehler auftreten. In manchen Versionen ist diese Option in der modifizierten Version des Web-Vaults vollständig ausgeblendet, um Verwirrung zu vermeiden.

Das Ändern des CSS zur Anzeige des Buttons, das Ändern des Proxys oder die Verwendung eines PRF-kompatiblen Authentifikators fügt die fehlende Backend-Funktionalität nicht hinzu. Bis Vaultwarden diese Unterstützung offiziell integriert, müssen Sie sich weiterhin mit Ihrem Master-Passwort anmelden.

Was ist PRF und warum löst es das Problem nicht?

PRF bedeutet Pseudo-Zufallsfunktion Es handelt sich um eine WebAuthn-Erweiterung, mit der sich mithilfe des Authentifikators ein geheimer Schlüssel ableiten lässt. Bitwarden kann diesen Schlüssel dann verwenden, um den Verschlüsselungsschlüssel des Kontos zu schützen und den Tresor mithilfe eines Passkeys zu entsperren.

Damit es funktioniert, müssen sowohl der Browser als auch der Authentifikator PRF unterstützen. Beispielsweise sind bestimmte YubiKeys und Chromium-basierte Browser kompatibel, wobei die Unterstützung je nach Betriebssystem variiert.

Ein kompatibler Schlüssel und Browser allein genügen jedoch nicht. Vaultwarden müsste die erforderlichen verschlüsselten Daten beim Login speichern und zurückgeben. Da dieser Teil des Servers noch nicht implementiert ist, PRF erlaubt keine Entschlüsselung eines Vaultwarden-Tresors..

Wie man Passwörter von anderen Websites in Vaultwarden speichert

Eine weitere, verfügbare Funktion ist die Möglichkeit, mit Vaultwarden Passkeys zu speichern, die für andere Websites erstellt wurden. Dadurch können Sie sich bei kompatiblen Diensten anmelden, ohne auf Ihre herkömmlichen Passwörter angewiesen zu sein.

1. Installieren Sie eine aktuelle Version der offiziellen Bitwarden-Erweiterung.
2. Konfigurieren Sie die Erweiterung so, dass sie eine Verbindung zu Ihrem Vaultwarden-Server herstellt.
3. Melde dich an und öffne den Tresor.
4. Öffnen Sie eine Website, auf der Sie Passkeys erstellen können.
5. Rufen Sie Ihre Sicherheitseinstellungen auf und wählen Sie die Erstellung eines neuen Passkeys.
6. Wählen Sie Bitwarden, wenn der Browser Sie fragt, wo Sie die Datei speichern möchten.
7. Autorisieren Sie den Vorgang über die Nebenstelle.
8. Überprüfen Sie, ob der Passkey im Anmeldefeld angezeigt wird.
9. Erzwingen Sie eine Synchronisierung, bevor Sie es von einem anderen Gerät aus testen.

Wenn Sie zur Seite zurückkehren, kann die Erweiterung den gespeicherten Passkey anbieten. Der private Schlüssel bleibt im Tresor verschlüsselt und wird mit allen kompatiblen Clients synchronisiert.

Diese Funktion sollte nicht mit dem Schutz des Kontos selbst verwechselt werden. Es handelt sich um einen gespeicherten Passkey für Google, GitHub oder einen anderen Dienst. Es ersetzt nicht das Vaultwarden-Masterpasswort..

Wie man das Masterpasswort mit Argon2id stärkt

Da Vaultwarden weiterhin das Master-Passwort benötigt, müssen Sie ein langes, einzigartiges Passwort verwenden, das Sie sich merken können. Sie können es auch konfigurieren Argon2id als Schlüsselableitungsfunktion.

Diese Einstellung ist kontospezifisch. Sie wird weder durch eine Containervariable aktiviert, noch ändert sie den globalen Algorithmus des Servers.

1. Öffne den Web-Tresor.
2. Eingeben Einstellungen > Sicherheit.
3. Wählen Sie den Abschnitt aus Schlüssel.
4. Wählen Argon2id im Bereich der Algorithmen.
5. Überprüfen Sie die angezeigten Parameter.
6. Aktualisieren Sie die Verschlüsselungseinstellungen.
7. Prüfen Sie den Zugriff von all Ihren Geräten.

Zu hohe Werte können den Startvorgang und das Entsperren verlangsamen, insbesondere bei älteren Smartphones oder Geräten. Übernehmen Sie keine extremen Einstellungen, ohne sie vorher auf all Ihren Geräten zu testen.

Argon2id erschwert Brute-Force-Angriffe auf das Masterpasswort, aber Es ermöglicht keine Anmeldung per Passkey.Es handelt sich um unterschiedliche und komplementäre Mechanismen.

Es ist außerdem ratsam, die allgemeinen Empfehlungen anzuwenden für Passwortmanager sicher verwendeninsbesondere wenn die Instanz familiäre oder geschäftliche Zugangsdaten enthält.

Sicherheitsbeschränkungen auf selbstgehosteten Servern

WebAuthn verknüpft Anmeldeinformationen mit der Domain, auf der sie erstellt wurden, und reduziert so das Phishing-Risiko erheblich. Die Dokumentation von Bitwarden weist jedoch darauf hin, dass selbstgehostete Server anfällig für bestimmte Angriffe auf die FIDO2-Zwei-Faktor-Authentifizierung sein können.

Ein Angreifer, der Ihre E-Mail-Adresse und Ihr Master-Passwort bereits kennt, könnte versuchen, eine gefälschte Passkey-Anfrage anzuzeigen und die Antwort wiederzuverwenden. Vergewissern Sie sich daher immer, dass Sie sich im richtigen Netzwerk befinden, bevor Sie einen Schlüssel berühren oder eine biometrische Anfrage akzeptieren. genaue Domain Ihres Servers.

• Klicken Sie nicht auf Links, die Sie in unerwarteten Nachrichten erhalten haben.
• Überprüfen Sie die Domain und das HTTPS-Zertifikat.
• Akzeptieren Sie keine WebAuthn-Anfragen, die außerhalb des erwarteten Anmeldezeitraums auftreten.
• Verwenden Sie auch dann ein eindeutiges Masterpasswort, wenn FIDO2 aktiviert ist.
• Bewahren Sie den Offline-Wiederherstellungscode auf.

Was passiert mit Passkeys auf iPhone und iPad?

Native Apple-Clients müssen die Anwendung mit der Serverdomäne verknüpfen. Einige Vaultwarden-Benutzer haben Authentifizierungsschleifen gemeldet, da die Domäne die Datei nicht bereitstellt. apple-app-site-association Von iOS erwartet.

Allerdings kann das manuelle Hinzufügen einer JSON-Datei mit den Bitwarden-Anwendungskennungen Es handelt sich nicht um eine offizielle oder universelle Lösung.Der Vorschlag basiert auf einem offenen Vorfall und funktioniert möglicherweise nicht mehr, wenn sich die Kennungen, Routen oder das Clientverhalten ändern.

Des Weiteren beinhaltet diese Datei keine passwortbasierte Initialisierung und Entschlüsselung im Vaultwarden-Backend. Sie dient lediglich der Verknüpfung zwischen der nativen Anwendung und der Domäne.

Falls Sie in iOS auf eine Schleife stoßen:

1. Aktualisieren Sie Vaultwarden und die Bitwarden-App.
2. Bestätigen Sie, dass DOMAIN Es enthält die korrekte HTTPS-Adresse.
3. Überprüfen Sie FIDO2 im Web-Vault.
4. Prüfen Sie die verfügbaren Diagnosen unter /admin/diagnostics.
5. Löschen Sie die Anmeldeinformationen und registrieren Sie sie erneut, falls Sie noch eine andere Sitzung haben.
6. Nutzen Sie vorübergehend TOTP oder eine andere alternative Methode.

Ändern Sie den Proxy nicht mit Kennungen, die aus einem Vorfall kopiert wurden, ohne vorher die Dokumentation und den aktuellen Status des Problems zu überprüfen.

Häufige Fehler bei der Verwendung von Passkeys in Vaultwarden

Die Anmeldung mit dem Passkey führt zu einem 404-Fehler.

Die Möglichkeit, den Tresor mithilfe eines Passkeys zu initialisieren und zu entschlüsseln, ist in Vaultwarden noch nicht implementiert. Der Client versucht, auf Endpunkte zuzugreifen, die der Server nicht bereitstellt. Dies ist nicht zwangsläufig ein Problem mit Caddy, Nginx oder dem Browser.

Die FIDO2-WebAuthn-Option wird nicht angezeigt.

Suche innerhalb Einstellungen > Sicherheit > Zweistufige AnmeldungSie sollten nicht den für die Passkey-Anmeldung auf dem offiziellen Bitwarden-Server vorgesehenen Master-Passwort-Bereich verwenden.

Der Browser lehnt die Erstellung der Anmeldeinformationen ab.

Vergewissern Sie sich, dass Sie HTTPS verwenden, dass das Zertifikat gültig ist und dass DOMAIN Vergleichen Sie die im Browser angezeigte Adresse. Prüfen Sie außerdem, ob Browser und Authentifizierungsgerät FIDO2 unterstützen.

Der Schlüssel funktioniert im Web, aber nicht in der App.

Die Unterstützung kann je nach Web-Vault, Erweiterungen und nativen Clients variieren. Aktualisieren Sie alle Anwendungen und halten Sie eine alternative Methode für Geräte bereit, auf denen WebAuthn nicht ordnungsgemäß funktioniert.

Der Passkey akzeptiert die Überprüfung, entsperrt aber nicht den Tresor.

Dies ist das erwartete Verhalten, wenn FIDO2 als zweiter Faktor verwendet wird. Um einen bereits gesperrten Tresor zu entsperren, benötigen Sie das Master-Passwort, eine PIN oder die auf dem Client konfigurierten biometrischen Daten.

Das Passwort von einer anderen Seite wird beim Anmelden nicht angezeigt.

Erzwingen Sie die Synchronisierung der Erweiterung, überprüfen Sie, ob das Element den Passkey enthält, und stellen Sie sicher, dass die gespeicherte Adresse mit der tatsächlichen Domain übereinstimmt. WebAuthn-Anmeldeinformationen sind mit der Kennung der Website verknüpft, die sie erstellt hat.

Ich habe den Sicherheitsschlüssel verloren.

Verwenden Sie eine andere konfigurierte Methode oder den Wiederherstellungscode. Der Code wird hier eingegeben:

https://vault.ejemplo.com/#/recover-2fa/

Nach der Wiederherstellung müssen die Zwei-Faktor-Methoden neu konfiguriert und der neu generierte Code gespeichert werden.

Windows Hello öffnet sich anstelle des USB-Schlüssels.

Das System wählt möglicherweise automatisch Ihren integrierten Authentifikator aus. Suchen Sie nach einer Option zur Verwendung eines anderen Geräts oder brechen Sie den ersten Dialog ab, um die vollständige Auswahl der Anmeldeinformationen anzuzeigen.

Passkeys erweitern die Funktionen von Vaultwarden erheblich, daher ist es wichtig, die Funktionsweise jedes einzelnen zu verstehen. Sie können Anmeldeinformationen speichern, um ohne Passwort auf andere Websites zuzugreifen und Ihr eigenes Konto mit FIDO2/WebAuthn als zweitem Faktor zu schützen.

Aktuell ist es noch nicht möglich, Ihre Vaultwarden-E-Mail-Adresse, Ihr Master-Passwort und Ihre Entschlüsselung vollständig durch einen PRF-Passkey zu ersetzen. Bis diese Funktion im Projekt implementiert ist, verwenden Sie bitte ein sicheres Master-Passwort, speichern Sie Ihren Wiederherstellungscode außerhalb des Vaults und testen Sie jeden Authentifikator, bevor Sie andere Sitzungen schließen.