Kukaan ei varastanut avaimia. Holvi jakoi ne.

Tiimissänne oleva vähäoikeuksinen jäsen voisi viedä koko organisaation holvin avaimet. Ei yhtä jaettua kirjautumistietoa. Avaimet itsessään.

Tämä on CVE-2026-60104, joka julkaistiin tällä viikolla itsehallinnossa pidetyssä Bitwarden Serverissä [1]. Toimiva proof-of-concept on julkinen, ja Italian ja Belgian kansalliset vastaustiimit julkaisivat molemmat hälytyksen [2][3]. Korjaus tuli nopeasti, versiossa 2026.6.0, ja @Bitwardenin pilviasiakkaat eivät olleet altistuneet. Jos teillä on oma palvelin, päivitätte sen tänään.

Korjaus on helppo osa. Sen alla oleva suunnittelu on varsinainen tarina.

Aukko asuu Trusted Device Enrollment ‑ominaisuudessa. TDE on olemassa aidosta syystä: se mahdollistaa kirjautumisen uuteen kannettavaan tietokoneeseen kirjoittamatta pääsalasanaa uudelleen. Jo luotettu laite tai ylläpitäjä hyväksyy uuden laitteen, ja tilin salausavain toimitetaan sille. Kätevää. Jopa inhimillistä tiimille, joka ottaa ihmisiä käyttöön joka viikko.

Lukekaa tuo uudelleen. Tilen salausavain toimitetaan. Koko ominaisuus perustuu yhteen oletukseen: holvin avaimen voi luovuttaa toiselle osapuolelle, kun oikea osapuoli hyväksyy sen. CVE-2026-60104 on sitä, mitä tapahtuu, kun vähäoikeuksinen jäsen astuu tämän hyväksyntäpolun luo ja pyytää avaimia, jotka eivät ole koskaan olleet hänen. Salaus ei pettänyt. Järjestelmä teki täsmälleen sen, mihin se oli rakennettu. Se jakoi.

@Bitwarden ei toiminut tässä huolimattomasti. He julkaisivat korjauksen päivässä, ja heidän hallinnoituna olevat käyttäjänsä eivät huomanneet mitään. Opetus on vaikeampi kuin ohjelmavirhe: heti kun avain voi olla suunnitelmallisesti muiden hallinnassa, on olemassa polku, jolla tuota hallintaa voi huijata. Jokainen hyväksyntäprosessi on hyökkäyspinta, koska jokainen hyväksyntäprosessi on määritelmällisesti tapa siirtää avain uudelle henkilölle.

Niinpä me rakensimme päinvastaisen oletuksen.

Clavitorissa holvin avaimi ei ole salaisuus, jonka palvelin säilyttää ja jakaa. Se on laitteistoavaimenne tuotos, joka syntyy vain, kun napautatte sitä fyysisesti. Operaattori ei koskaan tallenna mitään muotoa tästä avaimesta, jolla voitaisiin purkaa mitään, joten palvelimella ei ole mitään, mitä vapauttaa. Hallinnon hyväksyntäprosessia, joka toimittaisi holvin avainta, ei ole, koska palvelinpuolella ei ole toimitettavaa avainta. Yksi jäsen ei voi pyytää toisen jäsenen holvia, koska mikään pyyntöpolku ei pääty avaimeen. Jokainen avaus sidotaan siihen laitteeseen, joka sen teki, ja kirjoitetaan auditointilokiin nimetyn toimijan kohdalle.

Rehellisesti ottaen: voitte silti lisätä toisen laitteen. Silloin avain kääritään uudelleen uutta laiteavainta varten. Mutta se vaatii jo haltuunne omistamanne avaimen napautuksen, eikä hyväksyntää, jonka vieras voi pyytää myönnettäväksi lomakkeella. Avain ei koskaan ole paikassa, josta työnkulku voisi antaa sen pois.

Siinä on koko ero. Holvi, joka voi toimittaa avaimen, voidaan saada toimittamaan se väärälle henkilölle. Holvi, joka avautuu vain kädessänne olevalle laitteistolle, ei voi toimittaa mitään.

Kirjasimme lyhyen luettelon asioita, joita tunnistetietojen työkalun ei pitäisi koskaan tehdä. Avaimen pitäminen, jota siltä voi pyytää luovutettavaksi, on lähellä luettelon kärkeä. [4]

Clavitor (@clavitorai) on tekoälyagenteille ja niitä vastaan rakennettu tunnistetietojen holvi. clavitor.ai

---

Lähteet

CVE-2026-60104, National Vulnerability Database ‑tietue. Itsehallinnossa pidetyn Bitwarden Serverin todennuksen ohitus, korjattu versiossa 2026.6.0. [1]

CSIRT Italia (@csirt_it), tiedote: julkinen PoC haavoittuvuudelle CVE-2026-60104, luokiteltu tietoturvarajoitusten ohitukseksi ja tietovuodoksi. [2]

Centre for Cybersecurity Belgium (@CCBalert), hälytys: todennuksen ohitus mahdollistaa sen, että vähäoikeuksinen organisaation jäsen varastaa muiden käyttäjien holvit, CVSS 9.3, päivittäkää vähintään versioon v2026.6.0. [3]

Tunnistetietojen hallinnan kymmenen sääntöä (@clavitorai). [4]