L'attaquant qui contrôle le serveur peut modifier le client web et servir un code JS qui, en plus de dériver le mot de passe pour déchiffrer le coffre, pourrait l'envoyer à l'attaquant.
En effet, ça semble logique. L'attaquant devrait même en profiter pour récupérer les secrets encore chiffrés au passage, car si le compte est protégé par de la double authentification, alors il ne pourra pas les récupérer plus tard via l'API web.
Ceux qui utilisent uniquement les clients lourds sont à l'abri, tant qu'ils ne téléchargent pas le client depuis le serveur compromis.
Par contre, je ne comprend pas bien pourquoi cela protège d'utiliser le client lourd : pour récupérer le coffre et pouvoir l'utiliser avec ledit client, il faut s'authentifier, et donc envoyer son mot de passe (et son éventuel OTP) au serveur compromis au moins une première fois, non ?
[^] # Re: Compromission de l'appli web : un oubli?
Posté par cg . En réponse au lien Forensic analysis of bitwarden self-hosted server. Évalué à 3.
En effet, ça semble logique. L'attaquant devrait même en profiter pour récupérer les secrets encore chiffrés au passage, car si le compte est protégé par de la double authentification, alors il ne pourra pas les récupérer plus tard via l'API web.
Par contre, je ne comprend pas bien pourquoi cela protège d'utiliser le client lourd : pour récupérer le coffre et pouvoir l'utiliser avec ledit client, il faut s'authentifier, et donc envoyer son mot de passe (et son éventuel OTP) au serveur compromis au moins une première fois, non ?