bitwarden-security-context

Bitwarden 安全上下文

Bitwarden 基础安全框架的快速参考。在开发、代码审查或安全分析期间，可将其用作安全上下文，无需加载完整的威胁建模或架构审查技能。

安全原则（P01-P06）

这六项原则构成了 Bitwarden 所有安全决策的基础。

原则	名称	核心保障
P01	服务器零知识	Bitwarden 基础设施无法访问未加密的用户数据。服务器不得允许削弱用户选择的保护措施，不得将服务器数据伪装成用户加密的内容，也不得在客户端上下文之外访问加密数据。
P02	锁定的保险库是安全的	保险库锁定后，即使设备在锁定后遭到入侵，也无法以明文形式访问高度敏感的保险库数据。平台限制（例如 JS 内存限制）通过清除缓冲区和使用可用的安全功能来缓解。
P03	部分受入侵设备上的有限安全性	对于运行着用户空间恶意软件（但操作系统／内核完好）的设备上的未锁定保险库，客户端会尽可能增强内核／操作系统层面的保护，并通过生物识别等控制措施，在安全性与易用性之间取得平衡。
P04	系统完全受入侵时无法保障安全性	如果硬件或操作系统层面的完整性遭到完全破坏，Bitwarden 无法保证保险库受到保护。此原则仅适用于未锁定的保险库——锁定的保险库受 P02 保护。
P05	对保险库数据实行受控访问	无论处于静态还是使用中，保险库数据都只能由用户明确授权的对象访问。在 Web 浏览器等高风险环境中，隔离机制至关重要。
P06	尽可能降低安全漏洞的影响	通过使会话失效、轮换密钥（应对“先收集，后解密”）以及实施失陷后安全措施（失陷后仍保护新数据），限制漏洞影响的范围和持续时间。

受控例外

这些原则存在有记录的例外情况。已知示例：

• P01 — Key Connector：无密码的可自托管 SSO。服务器代表用户持有加密密钥。
• P01 — Icons Service：会发送明文域名以获取网站图标。

完整文档：安全原则

安全术语

Bitwarden 安全讨论中的标准术语。

术语	定义
保险库数据	用户存储在 Bitwarden 中的私人信息（密码、用户名、安全备注、信用卡、身份信息、附件）
受保护数据	以不可读格式存储的数据（通常经过加密），并要求安全存储密钥
静态数据	未在主动使用或传输的存储数据（设备或服务上的磁盘存储）
使用中的数据	正在处理或访问、保存在易失性内存中的数据
传输中的数据	在不同位置、进程或设备之间主动传输的数据
安全通道	提供机密性（未经授权的对象无法读取）和完整性（防篡改）的通信通道
可信通道	除安全通道的特性外，还提供真实性（验证通信双方的身份）的安全通道
数据导出	数据以未受保护状态离开 Bitwarden 的受控过程，会使安全保障失效。需要知情同意。
数据共享	在 Bitwarden 安全环境内受控地交换数据（维持安全保障）
数据泄漏	数据意外地以未受保护状态离开 Bitwarden
Bitwarden 安全环境	遵循 Bitwarden 安全标准的任何进程或应用程序

完整文档：安全定义

按类别划分的安全要求

类别	范围	主要义务
VD	保险库数据	静态时受保护（使用 UserKey 加密），使用时允许解密（解锁期间），传输时使用可信通道，导出需知情同意
EK	加密密钥	256 位安全强度，静态和传输时均须受保护，绝不可导出
AT	身份验证令牌	静态时须安全存储，传输时必须受到保护
SC	安全通道	机密性、完整性、防重放，长期通道须具备前向保密性
TC	可信通道	具备安全通道的特性，并验证接收方身份

完整文档：安全要求

架构决策记录（ADR）

Bitwarden 已采纳的架构决策与上述安全原则分开归档。有关安全评估应如何检查与这些决策的一致性，请参阅 ${CLAUDE_PLUGIN_ROOT}/references/adr-alignment.md。