Bitwarden lässt sich seine Sicherheit durch externe Analyse bestätigen

Bitwarden ist hier im Blog ein regelmäßiges Thema. Erst am Wochenende hatte Benny darüber berichtet, dass es ab sofort auch verschachtelte Ordner in eurem Vault gibt. Gerade bei einem Passwort-Manager wie Bitwarden ist Sicherheit natürlich das höchste Gut. Dabei setzt man auf eine quelloffene Codebasis und setzt Kopfgelder für gemeldete Bugs aus. Nun hat man sich die eigene Sicherheit durch ein Audit bei Cure53 bestätigen lassen.

Bitwarden hat den Sicherheitsbericht von Cure53 als PDF auch an dieser Stelle für alle hochgeladen. Cure53 gibt dabei an, dass man zwar einige kritische Sicherheitslücken gefunden habe, Bitwarden aber generell mit sehr positiven Resultaten aus dem Audit hervorgehe. Etwa könne die WebExtension von Bitwarden Manipulationen und Interaktionen von bösartigen Websites korrekt erkennen und ausbremsen.

Allerdings hat man ein relevantes Problem mit der Autofill-Funktion ausmachen können. Hier prüft die Bitwarden-Erweiterung nur die Top-Level-URL, was Tricksereien möglich macht. Außerdem empfiehlt Cure53 Bitwarden für Master-Passwörter rigidere Richtlinien anzuwenden. Man sollte Usern empfehlen statt Passwörtern ganze Sätze zur Sicherung zu verwenden oder nur Passwörter zuzulassen, die mindestens 12 Zeichen lang sind und auch nach der Stärke bewertet werden.

Des Weiteren ist auch ein kritischer Fehler vorhanden, der die Vaults für Organisationen betrifft. Hier könnten Man-in-the-Middle-Angriffe ansetzen, um Informationen abzufangen. Insgesamt hinterließ aber gerade der Bitwarden Vault sonst einen sehr guten Eindruck. Beispielsweise konnte man im Backend-Code keine ausnutzbaren Lücken aufstöbern. Optimierungen hält Cure53 aber zum Beispiel bei den kryptographischen Bibliotheken für notwendig. Dort gebe es unnötig verkomplizierte Strukturen, welche mittelfristig noch Probleme bereiten könnten.

Das Ergebnis für Bitwarden sei aber, dass es zwar gewisse Probleme und Sicherheitslücken gebe, jene aber in der Anzahl gering seien und zudem leicht behoben werden könnten. Deswegen glaubt man bei Cure53 auch, dass Bitwarden sich hier schnell in die richtige Richtung entwickeln könne.