Bitwarden est le gestionnaire de mots de passe open-source le plus populaire actuellement. Simple à utiliser, rentable, disponible sur les mobiles et les ordinateurs de bureau, et suffisamment sécurisé pour une utilisation quotidienne. L’application vient de recevoir une nouvelle mise à jour qui ajoute une nouvelle méthode sans mot de passe pour accéder à votre coffre-fort Web.
Alors qu’il prenait déjà en charge les techniques d’authentification sans mot de passe comme la signature par empreinte digitale, Face ID, PIN, sur mobile/bureau, il a maintenant un nouvel ajout.
Authentifier la connexion en utilisant des invitations
Google est probablement l’exemple le plus connu de ce type d’authentification de connexion : vous recevez une invitation sur vos appareils connectés pour authentifier l’activité de connexion. C’est précisément ce que Bitwarden vient d’ajouter à son arsenal de fonctionnalités.
Lorsque vous vous connectez à votre coffre-fort Web à partir de votre navigateur Web, vous pouvez choisir d’envoyer une notification push sur votre mobile où vous devez approuver la demande.
Pour ce faire, vous devez avoir installé l’application mobile Bitwarden. Cette fonctionnalité est uniquement disponible sur le serveur cloud de Bitwarden. Si vous l’hébergez vous-même, vous ne pouvez pas accéder à cette fonctionnalité pour le moment.
Cette méthode est-elle sécurisée ?
Bitwarden partage un organigramme qui décrit le processus de cette méthode d’authentification :
Comment fonctionne l’authentification sans mot de passe ?
Voici comment l’authentification sans mot de passe de Bitwarden fonctionne en détail lorsque la connexion avec un appareil est lancée :
- Le client du coffre-fort Web POST une requête, qui comprend l’adresse électronique du compte, une clé publique unique auth-requestª et un code d’accès, dans une table de requête d’authentification de la base de données Bitwarden.
- Les appareils enregistrés, c’est-à-dire les clients d’applications mobiles qui sont connectés et ont un GUID spécifique à l’appareil stocké dans la base de données Bitwarden, reçoivent la demande.
- Lorsque la demande est approuvée, le client d’application mobile chiffre la clé principale du compte et le hachage du mot de passe principal à l’aide de la clé publique auth-request incluse dans la demande.
- Le client de l’application mobile place ensuite la clé principale chiffrée et le hachage du mot de passe principal chiffré dans l’enregistrement de la demande d’authentification et marque la demande comme étant satisfaite.
- Le client du coffre-fort web obtient la clé maîtresse chiffrée et le hachage du mot de passe maître chiffré.
- Il décrypte ensuite localement la clé principale et le mot de passe principal à l’aide de la clé privée de la demande d’authentification.
- Le client du coffre-fort web utilise ensuite le code d’accès et la demande d’authentification satisfaite pour authentifier l’utilisateur auprès du service d’identité Bitwarden.
- Les clés publiques et privées d’authentification sont générées de manière unique pour chaque demande de connexion sans mot de passe et n’existent que le temps de la demande. Les demandes expirent et sont purgées de la base de données toutes les 15 minutes si elles ne sont pas approuvées ou refusées.
Ainsi, la demande d’authentification est chiffrée, ce qui en fait une méthode sûre et pratique.
DuckDuckGo intègre Bitwarden
DuckDuckGo, le populaire moteur de recherche axé sur la confidentialité, a annoncé un nouveau partenariat avec Bitwarden. Grâce à ce partenariat, le premier gestionnaire de mots de passe externe sera intégré directement à DuckDuckGo pour les utilisateurs de Mac.
Le nouveau partenariat entre DuckDuckGo et Bitwarden permet aux utilisateurs de Mac d’accéder facilement à leurs mots de passe Bitwarden et de les gérer directement depuis la barre de recherche de DuckDuckGo. Grâce à cette intégration, il sera encore plus facile pour les utilisateurs de protéger leurs comptes en ligne et de préserver leur vie privée lorsqu’ils naviguent sur le Web.
DuckDuckGo s’est toujours engagé à protéger la vie privée des utilisateurs, et ce partenariat avec Bitwarden n’est que le dernier exemple en date de cet engagement. En permettant aux utilisateurs de gérer plus facilement leurs mots de passe en ligne de manière sécurisée et privée, DuckDuckGo et Bitwarden travaillent ensemble pour aider les utilisateurs à prendre le contrôle de leur vie privée en ligne.
La connexion au coffre-fort Web affichera une phrase d’empreinte digitale qui identifie la tentative de connexion. Elle peut ressembler à juniper-sandbar-footnote-improve-evolution. Cette phrase apparaîtra également dans la demande de connexion sur l’application mobile. Vous devez vous assurer qu’elles correspondent avant d’approuver la demande.
Documentation Bitwarden
Ainsi, en plus du cryptage de bout en bout, vous disposez de moyens supplémentaires pour vérifier que la demande que vous avez reçue est authentique.
