信頼できるデバイスについて

ユーザーが既に信頼されているデバイスでSSOによる認証を行う場合：

1. ユーザーの公開鍵で暗号化されたユーザーキー、これは保管庫のデータを復号化するために使用されるアカウント暗号化キーの暗号化バージョンで、サーバーからクライアントに送信されます。

2. ユーザーのデバイスキー暗号化プライベートキー、その暗号化されていないバージョンは公開キー暗号化ユーザーキーを復号化するために必要です、サーバーからクライアントに送信されます。

3. クライアントは、デバイスキーで暗号化されたプライベートキーを、クライアントから離れることのないデバイスキーを使用して復号化します。

4. 現在暗号化されていないデバイスプライベートキーは、公開キーで暗号化されたユーザーキーを復号化するために使用され、結果としてユーザーのアカウント暗号化キーが得られます。

5. ユーザーのアカウント暗号化キーは保管庫のデータを復号化します。

ユーザーがSSOで認証し、信頼されていないデバイス（つまり、デバイス対称キーがそのデバイスに存在しない）で保管庫を復号化することを選択した場合、デバイスの承認方法を選択し、オプションで将来の使用のためにそれを信頼することが必要となります。次に何が起こるかは、選択したオプションによります：

• 別のデバイスから承認する

  1. ここに
     記載されているプロセスがトリガーされ、クライアントはアカウント暗号化キーを取得して復号化します。

  2. ユーザーは、復号化されたアカウント暗号化キーを使用して、保管庫のデータを復号化することができます。彼らがデバイスを信頼することを選択した場合、オンボーディングタブに記載されているように、クライアントとの信頼が確立されます。

• 管理者の承認を求める

  1. 開始クライアントは、アカウントのメールアドレス、ユニークな認証リクエスト公開鍵、およびアクセスコードを含むリクエストをPOSTし、それをBitwardenデータベースの認証リクエストテーブルに送信します。

  2. 管理者はデバイス承認ページで

     リクエストを承認または拒否
     することができます。

  3. リクエストが管理者によって承認されると、承認したクライアントはリクエストに含まれるauth-request公開鍵を使用して、ユーザーのアカウント暗号化キーを暗号化します。

  4. 承認されたクライントは、暗号化されたアカウントの暗号化キーを認証リクエストレコードにPUTし、リクエストが完了したとマークします。

  5. 開始クライントは暗号化されたアカウント暗号化キーをGETし、それを認証リクエストのプライベートキーを使用してローカルで復号化します。

  6. 復号化されたアカウント暗号化キーを使用して、オンボーディングタブで説明されているように、クライアントとの信頼関係が確立されます。

ª - Auth-request publicとprivate keysは、パスワードレスのログインリクエストごとに一意に生成され、リクエストが存在する限りのみ存在します。未承認のリクエストは1週間後に期限切れになります。

• マスターパスワードで承認:

  1. ユーザーのアカウント暗号化キーは、

     セキュリティホワイトペーパー
     のユーザーログインセクションに記載されている通りに取得および復号化されます。

  2. 復号化されたアカウント暗号化キーを使用して、オンボーディングタブで説明されているように、クライアントとの信頼関係が確立されます。

ユーザーが

1. ユーザーキー暗号化公開キーはサーバーからクライアントに送信され、その後、古いアカウント暗号化キー（別名。ユーザーキーにより、デバイス公開キーが生成されます。

2. ユーザーの新しいアカウント暗号化キーは、暗号化されていないデバイス公開キーで暗号化され、その結果の値が新しい公開キーで暗号化されたユーザーキーとしてサーバーに送信されます。

3. デバイス公開鍵は、ユーザーの新しいアカウント暗号化キーで暗号化され、その結果の値が新しいユーザーキー暗号化公開鍵としてサーバーに送信されます。

4. ユーザーのために、サーバーのストレージに永続化された他のすべてのデバイスの信頼されるデバイス暗号化キーがクリアされます。これにより、その単一のデバイスに対してサーバーに永続化された3つの必要なキーだけが残ります（公開キーで暗号化されたユーザーキー、ユーザーキーで暗号化された公開キー、そしてこのプロセスによって変更されなかったデバイスキーで暗号化されたプライベートキー）。

信頼性が失われたクライアントは、承認タブに記載されている方法のいずれかを通じて信頼性を再確立する必要があります。