Acerca de Dispositivos de Confianza

Cuando un usuario se autentica con SSO en un dispositivo ya confiable:

1. La Clave de Usuario Cifrada con Clave Pública del usuario, que es una versión cifrada de la clave de cifrado de la cuenta utilizada para descifrar los datos de la caja fuerte, se envía desde el servidor al cliente.

2. La Clave Privada Cifrada con la Clave del Dispositivo del usuario, cuya versión sin cifrar es necesaria para descifrar la Clave de Usuario Cifrada con la Clave Pública, se envía desde el servidor al cliente.

3. El cliente descifra la Clave Privada Cifrada con la Clave del Dispositivo utilizando la Clave del Dispositivo, que nunca abandona al cliente.

4. La Clave Privada del Dispositivo ahora desencriptada se utiliza para desencriptar la Clave de Usuario Encriptada con Clave Pública, resultando en la clave de encriptación de la cuenta del usuario.

5. La clave de cifrado de la cuenta del usuario descifra los datos de la caja fuerte.

Cuando un usuario se autentica con SSO y opta por descifrar su caja fuerte con un dispositivo no confiable (es decir, una Clave Simétrica del Dispositivo no existe en ese dispositivo), se requiere que elija un método para aprobar el dispositivo y opcionalmente confiar en él para su uso futuro sin más aprobación. Lo que sucede a continuación depende de la opción seleccionada:

• Aprobado desde otro dispositivo :

  1. El proceso documentado aquí se activa, lo que resulta en que el cliente ha obtenido y descifrado la clave de cifrado de la cuenta.

  2. El usuario ahora puede descifrar los datos de su caja fuerte con la clave de cifrado de cuenta descifrada. Si han elegido confiar en el dispositivo, la confianza se establece con el cliente como se describe en la pestaña Onboarding .

• Solicitar aprobación del administrador :

  1. El cliente inicial realiza una solicitud POST, que incluye la dirección de correo electrónico de la cuenta, una única clave pública de solicitud de autenticaciónª, y un código de acceso, a una tabla de Solicitud de Autenticación en la base de datos de Bitwarden.

  2. Los administradores pueden aprobar o denegar la solicitud en la página de aprobaciones de dispositivos.

  3. Cuando la solicitud es aprobada por un administrador, el cliente que aprueba cifra la clave de cifrado de la cuenta del usuario utilizando la clave pública de solicitud de autenticación incluida en la solicitud.

  4. El cliente que aprueba luego coloca la clave de cifrado de la cuenta cifrada en el registro de Solicitud de Autenticación y marca la solicitud como cumplida.

  5. El cliente iniciador obtiene la clave de cifrado de la cuenta cifrada y la descifra localmente utilizando la clave privada de solicitud de autenticación.

  6. Usando la clave de cifrado de cuenta desencriptada, se establece la confianza con el cliente como se describe en la pestaña Onboarding .

ª - Solicitud de autenticación pública y claves privadas se generan de manera única para cada solicitud de inicio de sesión sin contraseña y solo existen mientras la solicitud lo hace. Las solicitudes no aprobadas expirarán después de 1 semana.

• Aprobar con contraseña maestra :

  1. La clave de cifrado de la cuenta del usuario se recupera y descifra como se documenta en la sección de Inicio de Sesión del Usuario del Libro Blanco de Seguridad.

  2. Usando la clave de cifrado de cuenta desencriptada, se establece la confianza con el cliente como se describe en la pestaña Onboarding .

Cuando un usuario rota su clave de cifrado de cuenta, durante el proceso normal de rotación:

1. La Clave Pública Cifrada con Clave de Usuario se envía desde el servidor al cliente, y posteriormente se descifra con la antigua clave de cifrado de la cuenta (también conocida como. Clave de Usuario), resultando en la Clave Pública del Dispositivo.

2. La nueva clave de cifrado de la cuenta del usuario se cifra con la Clave Pública del Dispositivo sin cifrar y el valor resultante se envía al servidor como la nueva Clave de Usuario Cifrada con Clave Pública.

3. La Clave Pública del Dispositivo se cifra con la nueva clave de cifrado de la cuenta del usuario y el valor resultante se envía al servidor como la nueva Clave Pública del Usuario Cifrada con la Clave.

4. Las claves de cifrado de dispositivo de confianza para todos los otros dispositivos que se mantienen en el almacenamiento del servidor se borran para el usuario. Esto solo deja las tres llaves requeridas (Llave de Usuario Cifrada con Llave Pública, Llave Pública Cifrada con Llave de Usuario, y Llave Privada Cifrada con Llave de Dispositivo que no fue cambiada por este proceso) para ese único dispositivo persistido en el servidor.

Cualquier cliente ahora no confiable deberá restablecer la confianza a través de uno de los métodos descritos en la pestaña Aprobando.