BITWARDEN - Automatiser l'export de la base de donnée

[Kramlech]

Bonjour à tous

Il y a déjà quelque temps, au fils d'un sujet traité dans ce forum,  j'ai découvert le gestionnaire de mot de passe Bitwarden, ainsi que les moyens d'implémenter la partie serveur de ce produit dans nos NAS, via Docker.

Au fil du temps, j'ai usé et abusé de ce gestionnaire. Mais j'ai quand même dans le coin de ma tête une petite voix qui me dit : attention !!!

Voici les quelques points qui nourrissent cette petite voix :

1. Bitwarden (ou Vaultwarden, même combat, pour simplifier je ne parlerai plus que de bitwarden...) est un super outil pour générer et stocker les mots de passe.
2. Héberger Bitwarden sur son NAS, cela fait partie des bons principes que je veux appliquer.
3. Utiliser Bitwarden est une "drogue" dont il devient très vite difficile de se passer (surtout quand on a commencé avec une drogue "douce" comme "keepass" il a plus de 15 ans)
4. Alors que se passe-t-il si brusquement notre hébergement disparait (plantage NAS, vol, incendie ...). Ne plus avoir accès à nos comptes et mots de passe peut être extrêmement pénalisants, même pour une durée relativement courte, le temps de remonter une nouvelle machine ou de récupérer nos sauvegardes (au fait les sauvegardes sont bien en sécurité, via des credentials forts stockés ... dans notre base Bitwarden à laquelle on n'a plus accès !!!).

Bref vous comprenez mon soucis (et je ne dois pas être le seul dans ce cas)...

Donc mon idée toute simple est la suivante : Avoir continuellement sous la main un fichier d'export qui contiendra ma base Bitwarden. Ce fichier pourra potentiellement être réimporté en urgence sur le site officiel Bitwarden pour permettre de continuer à travailler ...

Pour cela, les points à résoudre sont les suivants :

1. Pouvoir faire générer l'export automatiquement via un script
2. Stocker le fichier export d'une manière chiffrée (pour ne pas lancer dans la nature un fichier qui contiendra en clair tous mes mot de passe !!!)

Le point 2 ne me semble pas forcément le plus complexe. D'après la doc, on peut faire un export au format "encrypted_json". Mais dans mon cas on ne pourra pas l'utiliser, car ce fichier est chiffré avec la clé de chiffrement du compte, et ne peux donc être réimporté que dans ce compte. Mais il existe divers utilitaires de chiffrement qui pourront être utilisés dans ce cas.

Le point 1 est le plus complexe. Déjà il faut être capable de faire générer l'export en ligne de commande.

Ce premier point m'a demandé quelques recherches : il existe bien un CLI pour Bitwarden, mais j'ai eu un peu de mal à trouver comment l'utiliser avec les instances Docker. En fait, c'est tout simple, et cela est indépendant de Docker : il s'agit d'un simple exécutable (bw), qui existe pour Windows, Linux et MacOS. Notre script pourra donc tourner soit sur un PC, soit directement sur le NAS... Toutes les informations sont là : https://bitwarden.com/help/article/cli/

Juste pour info, la séquence des commandes à passer est :

• bw config server <url> (pour identifier le serveur à joindre)
• bw login <user> <mot de passe> (pour se connecter à son compte)
• bw export <mot de passe> <format>

Voila c'est très simple...

Maintenant, il y a un hic si on veut scripter tout cela : il faut indiquer le mot de passe de notre compte Bitwarden au niveau du script, et ceci n'est pas vraiment .... sécurisé !!!

Donc, après ce long préambule, voici ma question :

• Est-ce que quelqu'un connait une méthode sécurisée pour passer un mot de passe à un script, soit en linux, soit en windows ?

D'après mes recherches, je n'ai rien trouvé pour Linux. Par contre pour windows, dans mon ancienne vie (professionnelle), j'ai utilisé des logiciels qui utilisaient les credentials stockés dans Windows pour faire leurs accès. C'est donc qu'il doit y avoir des API Windows qui peuvent faire cela...

Donc je suis preneur de toute bonne idée sur le sujet, c'est pour cela que je sollicite la communauté. J'ai bien quelques idées, mais je voudrais me confronter à d'autres personnes, sans doute plus compétentes que moi sur ce sujet.

Bien entendu, une fois que tout cela sera finalisé (si j'y arrive) et si certains sont intéressés, j'en ferai un vrai tutoriel ...

Merci à tous pour votre aide...

[Jeff777]

Bonjour @Kramlech

J'avais prévu une autre technique, je ne suis pas très certain que ce soit sans faille mais tu vas me dire ce que tu en penses.

J'ai Bitwarden sur mon PC et ma tablette (appli Android). Si la tablette est en WIFI à l'ouverture de l'appli le coffre qui est quelque part sur la tablette se synchronise avec le coffre du NAS. Idem sur le PC, lorsque l'on déverrouille  l'extension bitwarden dans le naviguateur le coffre du PC se synchronise avec le NAS.

Mais quand je n'ai pas le WIFI ou que le NAS est déconnecté du réseau, bitwarden continue a fonctionner avec le coffre interne (tablette ou PC). On peut même l'exporter en .json sans chiffrage vers une nouvelle machine. 

Evidemment si la maison prend feu, que je n'ai pas pris ma tablette ou bien que celle-ci plante je n'ai plus qu'à utiliser l'option mot de passe oublié 😉

 

 

[Kramlech]

Il y a 2 heures, Jeff777 a dit :

On peut même l'exporter en .json sans chiffrage vers une nouvelle machine. 

Effectivement, je n'avais pas noté qu'on pouvait exporter la base depuis les appli des devices... Ça peut être une solution en cas de problème.

Je me fais peut-être des nœuds au cerveau pour pas grand chose ....

[.Shad.]

Tu peux toujours utiliser du chiffrage gpg dans ton script pour ne pas mettre en plain text ton mot de passe maître.
En utilisant une paie de clé publique/privée gpg par exemple.

Comme l'a dit @Jeff777 tu as un accès en cache via les applis à ton coffre.

Pour ma part j'ai une tâche récurrente mensuellement dans mon calendrier qui me rappelle d'exporter mon coffre BW 😄 
Et j'ai une sauvegarde tous les trois jours des données de mes conteneurs.

[Kramlech]

Le 24/05/2021 à 18:54, Jeff777 a dit :

Mais quand je n'ai pas le WIFI ou que le NAS est déconnecté du réseau, bitwarden continue a fonctionner avec le coffre interne (tablette ou PC). On peut même l'exporter en .json sans chiffrage vers une nouvelle machine. 

Je viens de vérifier ce qu'il se passe quand le réseau (ou le serveur) n'est pas accessible : on peut faire l'export depuis l’extension des navigateurs ou depuis les applications portables, mais à condition d'être connecté ... Si on est déconnecté, il est impossible de se connecter sans accès au serveur !!!

Donc si comme moi, vous vous déconnectez régulièrement, on en revient à la case départ ....

[PatrickBt]

Bonjour,

Pour ma part, j'ai aussi testé en mode déconnecté. Il lit parfois la base de données, mais dès lors que je souhaite écrire dans la base, il recherche plusieurs minutes et finit par afficher un message d'erreur. Ensuite, il n'est plus possible de lire la base.

Donc pour moi aussi, impossible de me servir de cette application sans être connecté au serveur. 

Modifié le 26 mai 2021 par PatrickBt

[Jeff777]

Il y a 11 heures, PatrickBt a dit :

Donc pour moi aussi, impossible de me servir de cette application sans être connecté au serveur. 

Il faut distinguer nas déconnecté du réseau locale et application déconnectée (dans les paramètres de Bitwarden).

Si l'option déconnection est activée dans les paramètres effectivement le cache disparait et il ne semble pas être possible de récupérer son coffre sans reconnection du nas hébergeant bitwarden au réseau.

Personnellement je n'active jamais la déconnexion de Bitwarden que ce soit l'application Android ou les extensions navigateurs sur Windows 10 les coffres sont simplement verrouillés .  Le cache reste actif même en cas d'arrêt du périphérique ou/et de déconnexion du nas. Je peux dans ce cas exporter le coffre depuis le périphérique puis l'importer dans le nas une fois le problème réglé et j'ai la version la plus récente. 

Ceci dit je suis preneur du future tuto 😉

Modifié le 26 mai 2021 par Jeff777

[PatrickBt]

Il y a 12 heures, Jeff777 a dit :

Si l'option déconnection est activée dans les paramètres effectivement le cache disparait et il ne semble pas être possible de récupérer son coffre sans reconnection du nas hébergeant bitwarden au réseau.

Merci à toi.

Effectivement, je me déconnecte, alors je perd donc le cache. Je ne vais donc pas me déconnecter de l'application ou de l'extension. Je ferais l'essai demain. 

[PatrickBt]

Bonjour,

Alors, après test, tout cela fonctionne très bien hors connexion, mais il ne faut pas déconnecter l'application si le port 443 n'est pas ouvert sur le routeur.

Ce qui m'embêtais, c'était le cas où l'application se déconnecte en étant hors de chez moi. Il me serais alors impossible d'avoir mes mots de passe. Je passe donc dans ce cas là avec le vpn et l'application se reconnecte.

Merci pour l'aide.