A nyílt forráskódú jelszókezelő, a Bitwarden egy extra biztonsági réteget ad azoknak a fiókoknak, amelyeket nem védenek kétfaktoros hitelesítéssel (2FA). Ehhez e-mail alapú hitelesítést kér, mielőtt engedélyezné a hozzáférést a fiókokhoz.
Ha a rendszer potenciálisan gyanús bejelentkezési kísérletet észlel, például egy ismeretlen eszközről, a felhasználót mostantól arra fogja kérni, hogy erősítse meg a műveletet egy e-mailben kapott ellenőrző kód megadásával. Azok, akik nem adják meg a kódot, nem férhetnek hozzá a jelszószéfhez.
Ez a biztonsági lépés valójában a kétfaktoros hitelesítés egyik formája, így lényegében a Bitwarden még azok számára is kötelezővé teszi, akik nem aktiválták. Annak ellenére, hogy ez egy erősebb védelmet biztosít, a legjobb megoldás az lenne, ha a felhasználók a hitelesítő alkalmazásokon keresztül aktiválnák az MFA-t, vagy FIDO (Fast Identity Online) kompatibilis kulcsokat használnának.
Abban az esetben, ha a felhasználók bármely 2FA módszert aktiválják, illetve API kulcsokat vagy SSO -t használnak a bejelentkezéshez ez az új biztonsági mechanizmus nem érvényesül. Az önállóan hosztolt példányok szintén kivételt képeznek.
A Bitwarden kifejtette, hogy az alábbi esetek váltják ki az extra kód megadását:
- Bejelentkezés egy új eszközről
- A mobil- vagy asztali alkalmazás újratelepítése
- A webböngésző cookie-jainak törlése
Annak érdekében, hogy a felhasználók ne zárják ki magukat sem az e-mail, sem pedig a Bitwarden fiókból, gondoskodniuk kell arról, hogy független hozzáférésük legyen az e-mail hitelesítő adataikhoz vagy egyszerűen aktiválják a 2FA-t a Bitwarden fiókjukhoz.
Ez az extra biztonsági lépés semmiképp sem jelenti azt, hogy gyenge mesterjelszavakat, vagy pedig mindenhol ugyanazt a jelszót használjuk. A felhasználóknak gondoskodniuk kell arról, hogy mesterjelszavuk nehezen visszafejthető legyen azáltal, hogy megfelelő hosszúságú, egyedi és különböző karaktertípusokat tartalmaz.
