Khắc phục lỗi secure context HTTPS của Vaultwarden bằng reverse proxy

Những người tự host (self-hosters) triển khai Vaultwarden thường gặp phải một lỗi chặn truy cập khi cố gắng truy cập web vault qua HTTP thông thường từ một máy khác. Ứng dụng từ chối tải, với thông báo thiếu secure context cần thiết cho các thao tác mật mã. Vấn đề này xuất phát từ các tiêu chuẩn bảo mật của trình duyệt chứ không phải là lỗi phần mềm, đòi hỏi phải điều chỉnh hạ tầng cụ thể để giải quyết.

Chuyện gì đã xảy ra

Khi người dùng khởi động Vaultwarden bằng lệnh Docker cơ bản ánh xạ cổng 8000 sang cổng 80, họ có thể truy cập giao diện cục bộ qua localhost. Tuy nhiên, khi thử truy cập dịch vụ từ một thiết bị khác trong mạng nội bộ bằng địa chỉ IP thì sẽ thất bại. Trình duyệt hiển thị thông báo lỗi rằng cần có secure context để Subtle Crypto API hoạt động. Điều này ngăn trang đăng nhập hiển thị đúng và chặn mọi tương tác tiếp theo với trình quản lý mật khẩu.

Nguyên nhân gốc rễ nằm ở cách các trình duyệt hiện đại xử lý các hàm mật mã nhạy cảm. Vaultwarden dựa vào Web Crypto API để mã hóa và giải mã dữ liệu vault trực tiếp trong trình duyệt. Các trình duyệt hạn chế quyền truy cập vào API này chỉ dành cho các secure context, được định nghĩa là các trang phục vụ qua HTTPS hoặc từ localhost. Truy cập dịch vụ qua địa chỉ IP cục bộ bằng HTTP không đáp ứng tiêu chuẩn secure context, khiến đối tượng crypto.subtle trở nên undefined và làm hỏng chức năng cốt lõi của ứng dụng.

Để khắc phục, phương pháp được khuyến nghị là đặt một reverse proxy phía trước container Vaultwarden. Hướng dẫn này minh họa việc sử dụng Caddy, một máy chủ web nổi tiếng với khả năng HTTPS tự động. Bằng cách cấu hình Caddy để xử lý TLS termination và chuyển tiếp các yêu cầu đến instance Vaultwarden, người dùng có thể thiết lập secure context cần thiết. Thiết lập này đảm bảo rằng tất cả kết nối từ client, dù từ trình duyệt desktop hay ứng dụng di động, đều diễn ra qua HTTPS, đáp ứng cả yêu cầu bảo mật của trình duyệt lẫn chính sách của ứng dụng client.

Chi tiết quan trọng

• Phiên bản Vaultwarden 1.37.4 được sử dụng trong môi trường thử nghiệm, chạy trên Docker.
• Lỗi xảy ra do crypto.subtle không khả dụng trong các ngữ cảnh HTTP không an toàn từ IP từ xa.
• Truy cập localhost qua HTTP hiển thị trang nhưng thất bại với các client Bitwarden hiện đại yêu cầu HTTPS.
• Caddy được cấu hình với tls internal để thử nghiệm và reverse_proxy để chuyển tiếp lưu lượng.
• Biến môi trường DOMAIN phải khớp với URL HTTPS mà các client sử dụng.
• Nên tắt đăng ký mở bằng cách đặt SIGNUPS_ALLOWED=false sau khi tạo tài khoản ban đầu.

Bối cảnh

Secure contexts là một tính năng bảo mật web cơ bản giúp bảo vệ các API nhạy cảm khỏi bị lộ qua các kết nối không an toàn. Subtle Crypto API, dùng cho các thao tác bảo mật cao như tạo khóa và mã hóa, chỉ có thể truy cập trong các ngữ cảnh này. Hạn chế này ngăn chặn các cuộc tấn công man-in-the-middle, nơi kẻ tấn công có thể chặn hoặc thao túng các khóa mật mã truyền qua HTTP thông thường. Đối với các ứng dụng tự host như Vaultwarden, vốn xử lý dữ liệu cá nhân nhạy cảm, sự thực thi ở cấp độ trình duyệt này đảm bảo quá trình mã hóa diễn ra an toàn ở phía client trước khi dữ liệu đến máy chủ.

Reverse proxies đóng vai trò trung gian giữa client và các dịch vụ backend. Chúng xử lý các yêu cầu đến, quản lý chứng chỉ SSL/TLS và chuyển tiếp lưu lượng đến dịch vụ nội bộ phù hợp. Việc sử dụng reverse proxy như Caddy đơn giản hóa việc triển khai HTTPS bằng cách tự động hóa quản lý chứng chỉ. Thay vì cấu hình TLS trực tiếp trong container ứng dụng, vốn có thể phức tạp và dễ gây lỗi, proxy sẽ xử lý kết nối an toàn từ bên ngoài. Kiến trúc này cũng cho phép dịch vụ backend chỉ lắng nghe trên localhost, giảm thiểu khả năng tiếp xúc với mạng và cải thiện tư thế bảo mật tổng thể.

Tại sao điều này quan trọng

Đối với các nhóm và cá nhân vận hành phần mềm riêng, việc hiểu rõ sự khác biệt giữa truy cập cục bộ và truy cập qua mạng là rất quan trọng. Một thiết lập hoạt động hoàn hảo trên máy chủ có thể thất bại hoàn toàn đối với những người dùng khác trong mạng nếu HTTPS không được cấu hình đúng. Vấn đề này nhấn mạnh tầm quan trọng của việc đối xử với các dịch vụ tự host với mức độ nghiêm ngặt về bảo mật tương đương các ứng dụng công khai. Bỏ qua các yêu cầu HTTPS có thể dẫn đến chức năng bị hỏng, đặc biệt khi các ứng dụng client ngày càng khắt khe hơn trong việc thực thi các kết nối an toàn.

Hơn nữa, việc phụ thuộc vào mật mã dựa trên trình duyệt có nghĩa là hạ tầng hỗ trợ ứng dụng phải đảm bảo an toàn truyền tải. Nếu không có chứng chỉ HTTPS hợp lệ, toàn bộ giá trị của một trình quản lý mật khẩu zero-knowledge sẽ bị ảnh hưởng, vì trình duyệt không thể thực hiện các bước mã hóa cần thiết. Việc triển khai reverse proxy không chỉ khắc phục lỗi tức thời mà còn thiết lập nền tảng có khả năng mở rộng để thêm nhiều dịch vụ khác trong tương lai, tất cả đều hưởng lợi từ quản lý chứng chỉ tập trung và kiểm soát truy cập an toàn.

Bạn có thể làm gì

• Triển khai một reverse proxy như Caddy hoặc Nginx phía trước container Vaultwarden của bạn.
• Cấu hình proxy để phục vụ HTTPS bằng chứng chỉ hợp lệ, chẳng hạn như Let's Encrypt cho các tên miền công khai.
• Bind Vaultwarden chỉ vào 127.0.0.1, đảm bảo nó không thể truy cập trực tiếp từ mạng.
• Đặt biến môi trường DOMAIN thành chính xác URL HTTPS mà các client sẽ sử dụng để kết nối.
• Tắt đăng ký mở bằng cách đặt SIGNUPS_ALLOWED thành false sau khi tạo tài khoản admin.
• Xác minh rằng các client di động có thể kết nối, đảm bảo chuỗi chứng chỉ được tin cậy trên tất cả các thiết bị.