Bitwarden: Passwortlose Authentifizierung möglich
von caschy | 17 Kommentare
Seit langer Zeit berichten wir über den Passwortmanager Bitwarden und sprechen dahingehend auch unsere Empfehlung aus. Ob kostenloser Account, Bezahl-Modell, fremd- oder selbstgehostet: Bitwarden wird auch von vielen unserer Leser eingesetzt. Im Juli haben wir uns bereits die Roadmap vorgenommen und konnten berichten, dass das passwortlose Einloggen kommen wird. Nun ist es so weit. Mit der Option „Mit Gerät anmelden“ können Nutzer ein zweites Gerät zur Authentifizierung ihrer Anmeldung im Webtresor (Vault) verwenden, anstatt ihr Bitwarden-Passwort zu benutzen. Um das Ganze zu nutzen, muss man in der mobilen App auf dem Smartphone den Punkt „Anmeldeanfragen genehmigen“ (standardmäßig ausgeschaltet) im Abschnitt Sicherheit aktivieren. Hat man dies getan, wird man zukünftig beim Online-Einloggen über das Gerät bestätigen können – ohne wie bisher das Passwort verwenden zu müssen.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Hat das irgendeinen Vorteil?
Habe mich am Handy bisher immer fix per Fingerabdruck bei Bitwarden angemeldet.
Am PC im Browser geht das aber u.U. nicht. Für denn Fall kannst du jetzt dein Handy als externe Möglichkeit verwenden, dich anzumelden. Eben ohne Passwort.
Wow, das hatte ich gar nicht auf dem Schirm!
Ich hab mich schon gefragt, wie ich unter Windows irgendwie Biometrie nachrüsten kann, damit die Passwortabfrage auf ein Minimum reduziert wird. Wollte mir schon nen Biometrie-Stick von Yubikey kaufen.
Bleibt zu hoffen, dass diese Funktion auch schnell von Vaultwarde unterstützt wird.
Ich habe die Befürchtung, dass von Vaultwarden so schnell nichts kommt. Das läuft sicher über Push und damit hat Vaultwarden ja Probleme.
Bei mir läuft Push ohne Probleme. Nur nicht auf dem Smartphone – das ist aber eine Limitierung des Smartphones.
Vaultwarden löst das über Websockets. Wenn du davor einen Reverse Proxy hast, musst du das auch durchschleifen.
Siehe https://github.com/dani-garcia/vaultwarden/wiki/Enabling-WebSocket-notifications für die Aktivierung im Container und https://github.com/dani-garcia/vaultwarden/wiki/Proxy-examples für die Aktivierung im Reverse Proxy.
Aktiviert – mal schauen, wie es sich so im Betrieb schlägt.
Was mir noch gerade aufgefallen ist: in der Mobilversion (IOS) gibt es jetzt in der Tresorübersicht die Kategorie TOTP, dort werden nun alle Verifizierungscodes aufgelistet. Bisher musste man die immer extra kennzeichnen, um danach filtern zu können – ich habe das immer mit einem boolean-Feld gemacht, das ich „2fa“ genannt habe…
So ist endlich ohne Umwege machbar – sehr schön und ein weiterer Grund, 1Pass bald adieu zu sagen 🙂
Das mit den TOTPs gibt es in der App aber noch nicht so lange, oder übersehe ich das schon länger ? In der Desktop- und Webversion fehlt so eine Option immer noch – zum Pflegen meiner Einträge nutze ich überwiegend Web und Desktop und brauche da diesen Umweg…
Ja, das gibt es schon länger. Gefühlt schon ein paar Monate. TOTP’s und Passwörter in einer App ist aber eher ein Aushebeln der 2-FA.
Also irgendwas mache ich doch falsch oder?
Klappt nur mit dem Web Tresor, benutze aber die Browser Extension…
Bei mir kommt die Meldung, bitte ios App öffnen, entsperren, dann bestätigen…
Nicht wirklich angenehm, so eine Push Meldung wie im Bild oben bekomme ich nicht.
Beim mir gehts auch nur im Web Tresor, in der Chrome Extension nicht, aber das letzte Update der Extension ist auch vom 19.10.22 evtl. kommt da noch was. Weil nur für den Web Tresor ist es (für mich) relativ nutzlos den nutze ich so gut wie nie
Ich bin wohl auch zu doof dafür. Auf der Website das Anmelde Mailadresse angegeben und auf der nächsten Seite bekomme ich auch nur die Möglichkeit, Passwort oder Enterprise Single Sign on zu nutzen. Ich habe keinen Button, dass ich über das Device eingeloggt werden möchte. Naja, ist vielleicht einfach noch was Buggy. Aber grundsätzlich begrüße ich sowas ja. Gerne auch in anderen Anwendungen. Oder auch wie Discord es macht mit dem QR Code.
Du hast das aber schon in der App aktiviert? Dann hast auf der Website dann beim Login 3 Buttons (Log in with master password / Mit Gerät anmelden / Enterprise Single Sign-On)
Ich bin wohl auch zu doof dafür. Auf der Website das Anmelde Mailadresse angegeben und auf der nächsten Seite bekomme ich auch nur die Möglichkeit, Passwort oder Enterprise Single Sign on zu nutzen. Ich habe keinen Button, dass ich über das Device eingeloggt werden möchte. Naja, ist vielleicht einfach noch was Buggy. Aber grundsätzlich begrüße ich sowas ja. Gerne auch in anderen Anwendungen. Oder auch wie Discord es macht mit dem QR Code.
Bei mir gabs den Button erst nachdem ich mich im Webvault einmal regulär eingeloggt und wieder ausgeloggt habe.
Wie bereits von anderen Kommentatoren erwähnt: das Feature wird im Browser-Plugin noch nicht unterstützt, somit für mich noch nicht nützlich.
Bei mir funktioniert es irgendwie auch noch nicht. Wenn ich mich über den Browser (Chrome) einloggen will, bekomme ich zwar die Auswahl gezeigt, dass ich mich über ein Mobilgerät einloggen kann. Wenn ich drauf klicke erscheint die Meldung, dass eine entsprechende Nachricht an mein Handy geschickt wurde – dort taucht aber nirgends eine Benachrichtigung auf (die entsprechende Einstellung in der App habe ich natürlich aktiviert).
Vielleicht wird das ja noch was…
Also, es scheint wohl etwas anders zu funktionieren. Klar, in den Apps muss das aktiviert sein.
Der Tresor MUSS in der App geöffnet sein. Dann auf der Homepage die Mailadresse eingeben und den Button „mit Gerät anmelden“ drücken. Diesen Button scheint es auch nur zu geben, wenn der Browser bereits einmal angemeldet war. (Wie das funktioniert, weiß ich nicht. Cookies oder IP Adresse oder was auch immer)
Vielleicht hilft das jemandem.
Bitte beachten: die Funktion ist aktuell nur verfügbar, wenn man ein Bitwarden-Konto bei https://vault.bitwarden.com und deren Server benutzt. Mit einem selbst gehosteten Bitwarden-Server geht das nicht. Ich kann nur vermuten, dass der Grund dafür ist, dass für die Push-Anfragen die entsprechenden Dienste von Google und Apple benutzt werden, was bei einem eigenen Server nicht so einfach möglich ist.
Siehe auch https://bitwarden.com/de-DE/help/log-in-with-device/