Merci pour le feedback détaillé et commentaires positifs Hedy :)
Pour répondre à tes commentaires:
Intégration avec Rofi: on n'a pas encore essayé, mais si tu arrives à le faire fonctionner, ça nous intéresse bien. On pourrait le rajouter à la doc ou en faire un article de blog.
Possibilité de mettre plusieurs URL: c'est prévu pour bientôt et sera livré avec la feature custom fields / multiple content types (possibilité d'ajouter des champs custom à des ressources). C'est d'ailleurs notre priorité du moment.
Desktop app: Nous avons une application desktop native mais uniquement sur windows pour le moment. Les versions Mac et Linux sont prévus pour plus tard. Chaque app est développée dans une techno OS native pour des raisons de sécurité, donc cela prend un peu de temps. (Bitwarden a des apps hybrides en comparaison).
Sinon au cas où ca pourrait t'intéresser, voici une page de comparaison Passbolt vs Bitwarden qui met en lumière le positionnement et forces de chaque produit.
Merci Bruno pour les précisions. Je ne suis pas expert de Bitwarden, mais il y a dans votre argumentation certains points que je pense être incorrects. J’explique ci-dessous, et bien entendu heureux d’en débattre si vous avez des précisions à apporter:
Pour bitwarden, quand un mot de passe est modifié, seul ce nouveau mot de passe est envoyé au serveur, pas tout le vault.
C’est incorrect d’après la documentation trouvée sur le site web de Bitwarden: le serveur Bitwarden ne manipule pas de mots de passe, uniquement des vaults. Vous pouvez facilement vérifier ce point en regardant les points d’entrées d’API dans la documentation officielle qui ne liste que des points d’entrée permettant de manipuler des collections (et donc des vaults), ou même encore consulter leur security white paper qui indique clairement que seuls des vaults encryptés sont manipulés et non pas des mots de passe. Ci-dessous, une illustration reprise du security white paper :
Également extrait du white paper: Privacy by design: Bitwarden stores all of your logins in an encrypted vault that syncs across all of your devices. Since it’s fully encrypted before it ever leaves your device, only you have access to your data. Not even the team at Bitwarden can read your data (even if we wanted to). Your data is sealed with AES-CBC 256 bit encryption, salted hashing, and PBKDF2 SHA-256.
Je pense donc ne pas me tromper en disant que ce sont donc des vaults cryptés contenant un ensemble de mots de passe qui sont envoyés au serveur en cas d’update, et donc pas des mots de passe individuels. Si vous avez une information prouvant l’inverse, n’hésitez pas à partager.
Bitwarden permet de laisser un commentaire sur un mot de passe donné
Je pense qu’il y a confusion sur la définition de “commentaires”. Bitwarden permet de laisser une description sur une entrée, mais ne possède pas de fonctionnalité de commentaires entre utilisateurs à proprement parler. Voici un screenshot de ce qu’offre passbolt en terme de commentaires:
Ce système permet donc d'interagir avec d'autres utilisateurs concernant un mot de passe donné.
A ma connaissance, Bitwarden n’implémente pas de fonctionnalités similaires. Pouvez-vous confirmer?
Un petit bémol est que les administrateurs peuvent accéder aux clefs utilisateurs quand l'option de récupération de compte est activée, et donc se faire passer pour les utilisateurs.
Note: pour la fonctionnalité de account recovery dont la sortie est prévue d’ici quelques semaines, il est nécessaire pour un utilisateur d’enclencher lui-même le mode “recovery” avant qu’un administrateur puisse débloquer sa clef. De plus, il est prévu pour bientôt un mode shamir qui permettra de n’activer ce superpouvoir que lorsque le quorum d’administrateurs sera atteint, justement pour pallier cette problématique. Plus d'informations ici.
Il utilise également un système de clés publique/privée en RSA pour partager des secrets avec d'autres utilisateurs.
D’après le security white paper toujours, la clef RSA est utilisée pour encrypter la clef de l’organisation principalement.
Extrait: “An asymmetric key is also generated (RSA key pair) when the user registers their account. The Generated RSA Key Pair is used if and when the user creates an Organization. Organizations can be created and used to share data between users. When you create an organization, an Organization Symmetric key is generated using a Cryptographically Secure Pseudorandom Number Generator (CSPRNG). The Organization Symmetric Key is encrypted using the public key from your Generated RSA Key Pair. The private key from your Generated RSA Key Pair is encrypted with your Generated Symmetric Key using AES-256.”
Le partage de mots de passe en soi est effectué en utilisant une combinaison de symétrique et asymétrique. La clef RSA est quant à elle utilisée pour encrypter une clef symétrique.
Pour comparaison, dans passbolt l'ensemble du processus d'encryption des mots de passe est asymétrique et 100% end-to-end.
D’un point de vue général, passbolt se positionne pour une utilisation en entreprise et donc avec de plus grosses équipes où les besoins en collaboration et en sécurité peuvent être plus sophistiqués.
Voici une liste non exhaustive des avantages fonctionnels de passbolt par rapport à Bitwarden:
Système de permissions plus flexible et granulaire: avec Passbolt, un mot de passe peut être partagé individuellement avec un utilisateur ou groupe d’utilisateurs. Avec Bitwarden, seulement un vault contenant plusieurs mots de passe peut être partagé, tout ou rien donc.
Synchronisation temps réel entre plusieurs utilisateurs et clients: Du fait que passbolt gère les mots de passe individuellement sans utiliser de système de vault, cela lui confère certaines propriétés intéressantes. Par exemple, lorsqu’un mot de passe partagé est mis à jour, la version mise à jour est accessible immédiatement par l’ensemble des utilisateurs avec lesquels il est partagé. Sur Bitwarden, c’est un processus qui peut prendre un certain temps surtout si les vaults sont gros car il faut d’abord que le nouveau vault soit re-uploadé sur le serveur et qu’il soit ensuite re-téléchargé par les clients.
Couche organisationnelle et collaborative plus prononcée: Sur Passbolt il est possible de collaborer sur un mot de passe donné: de laisser des commentaires, de tagger un mot de passe comme expiré, ou encore d’organiser les mots de passe dans un système de dossiers imbriqués où chaque niveau peut avoir ses propres permissions d’accès. Ces fonctionnalités n’existent pas chez Bitwarden.
D’un point de vue sécurité, passbolt possède également certains attributs intéressants par rapport à Bitwarden:
Révocation des accès: Lorsqu’un accès est révoqué, sur Passbolt le secret est instantanément supprimé et il est donc impossible pour l’utilisateur de pouvoir y accéder. Sur Bitwarden l’accès au vault n’est pas révoqué d’un point de vue cryptographique. La révocation est uniquement au niveau de la couche d’authentification avec le serveur. En gros, si un utilisateur a eu accès au vault a un moment T il est possible de le décrypter dans le futur même quand l'accès est révoqué (encore faut-il obtenir la nouvelle archive, certes).
Intégrité des logs d’activité: Sur Passbolt, les opérations sont loguées par le serveur au moment où elles s’effectuent, avec contrôle d’integrité. La plupart des opérations de chiffrement sont également signées par les clefs utilisateurs. Sur Bitwarden, les opérations sont loguées à posteriori et sans contrôle d’intégrité. Il est donc impossible de savoir si une opération a bel et bien eu lieu, ni d’avoir un historique fiable. Sur Passbolt, l'intégrité des logs est mieux garantie.
Chiffrement de bout en bout (End-to-end): Sur Passbolt, les librairies de chiffrement sont fournies par l’extension navigateur, pas par le serveur. Cela permet d’éviter des situations où un attaquant qui compromettrait le serveur pourrait ensuite modifier les librairies (ou l’interface) pour se donner accès aux secrets ou capturer le mot de passe principal. Sur Bitwarden, pour le client web, les librairies de chiffrement sont fournies par le serveur, donc pas vraiment “de bout en bout” sauf si on utilise les clients lourds.
Cryptographie à clef publique, basée sur OpenPGP: Sur Passbolt, chaque utilisateur dispose de sa propre clef d’encryption qui peut être soit générée par le client, soit importée pour un contrôle total. C’est un mécanisme très proche de celui utilisé par les portefeuilles crypto et permet de fournir une cryptographie basée sur des clefs RSA à tailles configurables stockées côté client. Bitwarden pour sa part dérive les clefs à partir du mot de passe de l’utilisateur. Cela signifie que deviner le mot de passe utilisateur “suffit” à usurper son compte, tandis que chez Passbolt il est nécessaire de récupérer une clé, stockée chiffrée côté client, en plus de connaître la passphrase de déchiffrement de la clef.
Passbolt utilise GpgAuth un système d’authentification fort avec un challenge unique (similaire à SSH). Bitwarden dérive le mot de passe principale l'envoyer au serveur lors de l’authentification. Cela explique pourquoi le MFA n’est pas “obligatoire” pour passbolt par défaut.
Enfin, d’un point de vue hébergement et technologies, passbolt est développé sur une stack assez légère: PHP / Mysql (MariaDB et PostgreSQL sont également supportés). Il est possible de l’héberger sur un serveur relativement simple (Même sur un Raspberry pi par exemple) et cela nous permet de fournir des paquets linux natifs pour la plupart des distributions. Bitwarden quant à lui est écrit en .Net et nécessite un calibrage serveur un peu plus lourd (une alternative plus legere, vaultwarden existe aussi).
Voila, la réponse un peu longue, mais j'espère que les informations sont intéressantes :)
Oui une gestion des versions est prévue dans la roadmap, avec la possibilité de restaurer une version précédente.
Les notifications emails mentionnés plus haut et qui seront implémentées à plus court terme, permettront également de garder un historique des différentes versions pour un mot de passe donné.
Un mot de passe mis à jour est mis à jour pour tous les utilisateurs avec lequel il est partagé. Donc pour reprendre ton exemple, la modification sera vue par les deux : ton collègue et toi. De manière pratique, le mot de passe est réencrypté deux fois : une fois avec ta clef, et une fois avec la clef de ton collègue.
Pour répondre à cette problématique du collègue injoignable (que nous avons tous déjà vécus ;)), nous avons prévus de mettre en place un système de groupes d’utilisateurs et de catégories. Après création d’un mot de passe il sera donc possible soit de l’ajouter à une catégorie déjà partagée avec des utilisateurs ou un groupe d’utilisateurs. Soit de partager directement le mot de passe avec un groupe. Ce système est déjà supporté en partie dans l’implémentation actuelle de notre API, et du système de permissions. Il nous reste à le polir et à le mettre en place dans le client web et console.
Bonjour Xavier. Nous avons prévu d’implémenter plusieurs fonctionnalités qui pourraient répondre à cette problématique :
Une notification email (configurable) envoyé à chaque création / édition / partage d’un mot de passe. Cet email contiendrait le mot de passe encrypté au format GPG. A l’heure actuelle, une notification email est déjà envoyé lorsqu’un mot de passe est partagé. Il nous reste à implémenter la création et l’édition.
Une fonctionnalité “hors ligne”: une possibilité d’avoir la synchronisation des mots de passe entre le plugin et le serveur, où le plugin stockerait les mots de passe encryptés en local. Il serait ensuite possible d’y accéder d’un simple clic (suivi du master password), sans la nécéssité de devoir se connecter à l’application en ligne.
Import / export depuis et vers différents formats, permettant ainsi de faire des backups de l’ensemble des mots de passe.
[^] # Re: Très bon logiciel, avec quelques faiblesses côté ergonomie/intégration
Posté par kevin muller . En réponse à la dépêche Sortie de passbolt v4.5 : Gestion de l'expiration des mots de passe et autres améliorations. Évalué à 2 (+1/-0).
Merci pour le feedback détaillé et commentaires positifs Hedy :)
Pour répondre à tes commentaires:
Intégration avec Rofi: on n'a pas encore essayé, mais si tu arrives à le faire fonctionner, ça nous intéresse bien. On pourrait le rajouter à la doc ou en faire un article de blog.
Possibilité de mettre plusieurs URL: c'est prévu pour bientôt et sera livré avec la feature custom fields / multiple content types (possibilité d'ajouter des champs custom à des ressources). C'est d'ailleurs notre priorité du moment.
Desktop app: Nous avons une application desktop native mais uniquement sur windows pour le moment. Les versions Mac et Linux sont prévus pour plus tard. Chaque app est développée dans une techno OS native pour des raisons de sécurité, donc cela prend un peu de temps. (Bitwarden a des apps hybrides en comparaison).
Sinon au cas où ca pourrait t'intéresser, voici une page de comparaison Passbolt vs Bitwarden qui met en lumière le positionnement et forces de chaque produit.
[^] # Re: BitWarden
Posté par kevin muller . En réponse à la dépêche Passbolt, le gestionnaire de mots de passe pour équipe, lance ses applications mobiles. Évalué à 10. Dernière modification le 27 janvier 2022 à 16:17.
Merci Bruno pour les précisions. Je ne suis pas expert de Bitwarden, mais il y a dans votre argumentation certains points que je pense être incorrects. J’explique ci-dessous, et bien entendu heureux d’en débattre si vous avez des précisions à apporter:
C’est incorrect d’après la documentation trouvée sur le site web de Bitwarden: le serveur Bitwarden ne manipule pas de mots de passe, uniquement des vaults. Vous pouvez facilement vérifier ce point en regardant les points d’entrées d’API dans la documentation officielle qui ne liste que des points d’entrée permettant de manipuler des collections (et donc des vaults), ou même encore consulter leur security white paper qui indique clairement que seuls des vaults encryptés sont manipulés et non pas des mots de passe. Ci-dessous, une illustration reprise du security white paper :
Également extrait du white paper:
Privacy by design: Bitwarden stores all of your logins in an encrypted vault that syncs across all of your devices. Since it’s fully encrypted before it ever leaves your device, only you have access to your data. Not even the team at Bitwarden can read your data (even if we wanted to). Your data is sealed with AES-CBC 256 bit encryption, salted hashing, and PBKDF2 SHA-256.
Je pense donc ne pas me tromper en disant que ce sont donc des vaults cryptés contenant un ensemble de mots de passe qui sont envoyés au serveur en cas d’update, et donc pas des mots de passe individuels. Si vous avez une information prouvant l’inverse, n’hésitez pas à partager.
Je pense qu’il y a confusion sur la définition de “commentaires”. Bitwarden permet de laisser une description sur une entrée, mais ne possède pas de fonctionnalité de commentaires entre utilisateurs à proprement parler. Voici un screenshot de ce qu’offre passbolt en terme de commentaires:
Ce système permet donc d'interagir avec d'autres utilisateurs concernant un mot de passe donné.
A ma connaissance, Bitwarden n’implémente pas de fonctionnalités similaires. Pouvez-vous confirmer?
Note: pour la fonctionnalité de account recovery dont la sortie est prévue d’ici quelques semaines, il est nécessaire pour un utilisateur d’enclencher lui-même le mode “recovery” avant qu’un administrateur puisse débloquer sa clef. De plus, il est prévu pour bientôt un mode shamir qui permettra de n’activer ce superpouvoir que lorsque le quorum d’administrateurs sera atteint, justement pour pallier cette problématique. Plus d'informations ici.
D’après le security white paper toujours, la clef RSA est utilisée pour encrypter la clef de l’organisation principalement.
Extrait: “An asymmetric key is also generated (RSA key pair) when the user registers their account. The Generated RSA Key Pair is used if and when the user creates an Organization. Organizations can be created and used to share data between users. When you create an organization, an Organization Symmetric key is generated using a Cryptographically Secure Pseudorandom Number Generator (CSPRNG). The Organization Symmetric Key is encrypted using the public key from your Generated RSA Key Pair. The private key from your Generated RSA Key Pair is encrypted with your Generated Symmetric Key using AES-256.”
Le partage de mots de passe en soi est effectué en utilisant une combinaison de symétrique et asymétrique. La clef RSA est quant à elle utilisée pour encrypter une clef symétrique.
Pour comparaison, dans passbolt l'ensemble du processus d'encryption des mots de passe est asymétrique et 100% end-to-end.
[^] # Re: BitWarden
Posté par kevin muller . En réponse à la dépêche Passbolt, le gestionnaire de mots de passe pour équipe, lance ses applications mobiles. Évalué à 3.
A ma connaissance, l'extension navigateur Bitwarden ne sert qu'à permettre un accès plus rapide aux mots de passes et non pas à encrypter / décrypter.
Et sinon, concernant un serveur en python, les contributions sont welcome :))
[^] # Re: Intéressante découverte
Posté par kevin muller . En réponse à la dépêche Passbolt, le gestionnaire de mots de passe pour équipe, lance ses applications mobiles. Évalué à 8.
Pour info, MFA sera bientôt disponible dans la version community du logiciel.
[^] # Re: BitWarden
Posté par kevin muller . En réponse à la dépêche Passbolt, le gestionnaire de mots de passe pour équipe, lance ses applications mobiles. Évalué à 10.
D’un point de vue général, passbolt se positionne pour une utilisation en entreprise et donc avec de plus grosses équipes où les besoins en collaboration et en sécurité peuvent être plus sophistiqués.
Voici une liste non exhaustive des avantages fonctionnels de passbolt par rapport à Bitwarden:
Système de permissions plus flexible et granulaire: avec Passbolt, un mot de passe peut être partagé individuellement avec un utilisateur ou groupe d’utilisateurs. Avec Bitwarden, seulement un vault contenant plusieurs mots de passe peut être partagé, tout ou rien donc.
Synchronisation temps réel entre plusieurs utilisateurs et clients: Du fait que passbolt gère les mots de passe individuellement sans utiliser de système de vault, cela lui confère certaines propriétés intéressantes. Par exemple, lorsqu’un mot de passe partagé est mis à jour, la version mise à jour est accessible immédiatement par l’ensemble des utilisateurs avec lesquels il est partagé. Sur Bitwarden, c’est un processus qui peut prendre un certain temps surtout si les vaults sont gros car il faut d’abord que le nouveau vault soit re-uploadé sur le serveur et qu’il soit ensuite re-téléchargé par les clients.
Couche organisationnelle et collaborative plus prononcée: Sur Passbolt il est possible de collaborer sur un mot de passe donné: de laisser des commentaires, de tagger un mot de passe comme expiré, ou encore d’organiser les mots de passe dans un système de dossiers imbriqués où chaque niveau peut avoir ses propres permissions d’accès. Ces fonctionnalités n’existent pas chez Bitwarden.
D’un point de vue sécurité, passbolt possède également certains attributs intéressants par rapport à Bitwarden:
Intégrité des logs d’activité: Sur Passbolt, les opérations sont loguées par le serveur au moment où elles s’effectuent, avec contrôle d’integrité. La plupart des opérations de chiffrement sont également signées par les clefs utilisateurs. Sur Bitwarden, les opérations sont loguées à posteriori et sans contrôle d’intégrité. Il est donc impossible de savoir si une opération a bel et bien eu lieu, ni d’avoir un historique fiable. Sur Passbolt, l'intégrité des logs est mieux garantie.
Chiffrement de bout en bout (End-to-end): Sur Passbolt, les librairies de chiffrement sont fournies par l’extension navigateur, pas par le serveur. Cela permet d’éviter des situations où un attaquant qui compromettrait le serveur pourrait ensuite modifier les librairies (ou l’interface) pour se donner accès aux secrets ou capturer le mot de passe principal. Sur Bitwarden, pour le client web, les librairies de chiffrement sont fournies par le serveur, donc pas vraiment “de bout en bout” sauf si on utilise les clients lourds.
Cryptographie à clef publique, basée sur OpenPGP: Sur Passbolt, chaque utilisateur dispose de sa propre clef d’encryption qui peut être soit générée par le client, soit importée pour un contrôle total. C’est un mécanisme très proche de celui utilisé par les portefeuilles crypto et permet de fournir une cryptographie basée sur des clefs RSA à tailles configurables stockées côté client. Bitwarden pour sa part dérive les clefs à partir du mot de passe de l’utilisateur. Cela signifie que deviner le mot de passe utilisateur “suffit” à usurper son compte, tandis que chez Passbolt il est nécessaire de récupérer une clé, stockée chiffrée côté client, en plus de connaître la passphrase de déchiffrement de la clef.
Passbolt utilise GpgAuth un système d’authentification fort avec un challenge unique (similaire à SSH). Bitwarden dérive le mot de passe principale l'envoyer au serveur lors de l’authentification. Cela explique pourquoi le MFA n’est pas “obligatoire” pour passbolt par défaut.
Enfin, d’un point de vue hébergement et technologies, passbolt est développé sur une stack assez légère: PHP / Mysql (MariaDB et PostgreSQL sont également supportés). Il est possible de l’héberger sur un serveur relativement simple (Même sur un Raspberry pi par exemple) et cela nous permet de fournir des paquets linux natifs pour la plupart des distributions. Bitwarden quant à lui est écrit en .Net et nécessite un calibrage serveur un peu plus lourd (une alternative plus legere, vaultwarden existe aussi).
Voila, la réponse un peu longue, mais j'espère que les informations sont intéressantes :)
[^] # Re: Partage ?
Posté par kevin muller . En réponse à la dépêche Passbolt, un nouveau gestionnaire de mots de passe pour les équipes. Évalué à 2.
Oui une gestion des versions est prévue dans la roadmap, avec la possibilité de restaurer une version précédente.
Les notifications emails mentionnés plus haut et qui seront implémentées à plus court terme, permettront également de garder un historique des différentes versions pour un mot de passe donné.
[^] # Re: Partage ?
Posté par kevin muller . En réponse à la dépêche Passbolt, un nouveau gestionnaire de mots de passe pour les équipes. Évalué à 2.
Bonjour Moonz. Les réponses ci-dessous :
Un mot de passe mis à jour est mis à jour pour tous les utilisateurs avec lequel il est partagé. Donc pour reprendre ton exemple, la modification sera vue par les deux : ton collègue et toi. De manière pratique, le mot de passe est réencrypté deux fois : une fois avec ta clef, et une fois avec la clef de ton collègue.
Pour répondre à cette problématique du collègue injoignable (que nous avons tous déjà vécus ;)), nous avons prévus de mettre en place un système de groupes d’utilisateurs et de catégories. Après création d’un mot de passe il sera donc possible soit de l’ajouter à une catégorie déjà partagée avec des utilisateurs ou un groupe d’utilisateurs. Soit de partager directement le mot de passe avec un groupe. Ce système est déjà supporté en partie dans l’implémentation actuelle de notre API, et du système de permissions. Il nous reste à le polir et à le mettre en place dans le client web et console.
[^] # Re: Mode hors ligne
Posté par kevin muller . En réponse à la dépêche Passbolt, un nouveau gestionnaire de mots de passe pour les équipes. Évalué à 3.
Bonjour Xavier. Nous avons prévu d’implémenter plusieurs fonctionnalités qui pourraient répondre à cette problématique :
Une notification email (configurable) envoyé à chaque création / édition / partage d’un mot de passe. Cet email contiendrait le mot de passe encrypté au format GPG. A l’heure actuelle, une notification email est déjà envoyé lorsqu’un mot de passe est partagé. Il nous reste à implémenter la création et l’édition.
Une fonctionnalité “hors ligne”: une possibilité d’avoir la synchronisation des mots de passe entre le plugin et le serveur, où le plugin stockerait les mots de passe encryptés en local. Il serait ensuite possible d’y accéder d’un simple clic (suivi du master password), sans la nécéssité de devoir se connecter à l’application en ligne.
Import / export depuis et vers différents formats, permettant ainsi de faire des backups de l’ensemble des mots de passe.