Я использую парольный менеджер Bitwarden на протяжении нескольких лет и всем доволен, за исключением себя — никак руки не доходили до этого момента настроить его self-hosted версию на своём сервере.
Сегодня я сделал это и моё новое сокровище скушало почти всю память на диске моей небольшой виртуальной машины: ужас! К сожалению, мне пришлось отказаться от этой затеи и вернуться к использованию облачного хранилища Bitwarden.
Bitwarden использует PBKDF2 + AES256-CBC для шифрования паролей и их расшифровки мастер-ключом на локальной машине. Когда я изучил инструкции Bitwarden и понял, что на его серверах всё равно хранятся исключительно зашифрованные пароли, мне подумалось, что нет никакого смысла грузить свою VPS несколькими докер-контейнерами, в которых живёт Bitwarden: зачем, если можно заплатить $10 и использовать премиум-версию со всеми наворотами и не беспокоиться о сохранности своих паролей?
А что думаете вы?
за «Облачный парольный менеджер»
за «Self-hosted парольный менеджер»
Раньше хранил пароли в текстовых файлах в контейнере TrueCrypt. Подписка на 1Password — одна из лучших покупок за всё время. Можно просто ни о чём не думать, пароли и карты мгновенно подтягиваются на всех девайсах, в том числе и в приложениях на iOS. Недавно ещё прикрутили Touch ID в Firefox, жить стало ещё лучше.
Ради одного парольного менеджера не стоит держать ни VPS, ни домашнего сервера. Но вот если есть идеи как это расширить, добавить туда всякие другие полезности и хостить какие-то сервисы (обязательный линк на awesome-selfhosted), то это очень даже того стоит. Уже больше года держу на домашнем сервер много всего, включая bitwarden, и всем доволен.
P.S. Насчет того чтобы хостить bitwarden - рекомендую vaultwarden (бывший bitwarden_rs). Тратит гораздо меньше ресурсов чем официальный сервер и открыты премиум фичи.
Именно тогда, когда нужно будет максимально срочно вытянуть пароль от чего-нибудь, окажется, что с виртуальной машиной что-то случилось (особено если там 512MB RAM и Docker из установленной провайдером Ubuntu 16.04), а у тебя вокруг темонта, сильнейшая усталость, комары и два деления EDGE.
Я использую KeePass для хранения всех паролей/секретов/токенов и прочего. На лептопе KeePassXC, на мобиле Keepass2Android.
Все опенсорс, что дает еще больше иллюзии (хоть и сам я не копался в исходниках).
ДБ храню... на Гугл Драйве, просто потому что так синхронизация удобнее.
Это не Self-Hosted по канонам, но и не прям облачный.
Все больше думаю перейти на Bitwarden ради лучшего экспириенса, хотя бы для паролей.
Чтобы на своей VPS добиться такого же уровня отказоустойчивости и настроить бэкапы как у облачного провайдера, нужно постараться. А также ежемесячно платить за VPS.
Я пользуюсь Joplin (это обычный open-source "блокнот"), который шифрует всё и закидывает в DropBox. А с DropBox уже синхронизируются другие устройства.
Я понимаю, что это не совсем Self-Hosted, но я вижу свои файлы в DropBox и вижу что они действительно зашифрованы, т.е. имею контроль над ситуацией.
Что там под капотом у облачных парольных менеджеров - неизвестно.
Использую LastPass более 4 лет. За всё время не было никаких проблем.
Удобно что есть плагины для браузеров который подставляет сохраненный пароль и возможность генерации сложных паролей. Что позволяет иметь на всех сервисах разные пароли и в случае утечки. Даже если начнут брутфорсить один пароль по всем сайтам, то я успею это заметить и вовремя сменить пароль.
Осознаю что "все яйца в одной корзине", но за удобство всегда необходимо платить.
В идеале вообще файлик хранить у себя локально, копировать его руками по необходимости на разные девайсы. Ничего торчащего во вражеский интернет!
Хочешь — в облаке хранишь, хочешь — локально и, например, синхронизируешь через сервис по вкусу (хоть собственный Nextcloud)
Вопрос к пробовавшим оба варианта битвардена.
Поделитесь рецептами, плес.
Есть ли удобный способ переезда из облака и обратно? В идеале было бы иметь 2 разных ремоут ветки как в гите, и иметь возможность переключаться между серверами, синхронизируясь то с одним, то с другим, то с двумя сразу.
Или организовать переодические синки между серверами, чтобы из облака дампалось в мой приватный инстанс.
Или хотя бы автоматизированные выгрузки шифрованного текстового дампа на третий файловый сервер, чтобы оттуда забрать в случае факапа основного.
Предствим ситуацию: перестанут завтра все сервера битвардена отвечать (третья мировая, чебурнет, сотрудник-импостор, админ пролил пиво в сервер, whatever).
Что делать будем? Письма в спортлото писать? Застрелимся?
Нипанятна.
"Андрей, ты параноик" - скажете вы. Окей, возможно. Но мне чёт неуютно от такой перспективы.
Для понимания чем продиктован вопрос:
Список можно и дальше продолжать, мораль, думаю, ясна, все мы люди, все ошибаемся.
@podivilov, спасибо за трэд, меня тоже мучала эта диллема, тут спросить не догадался сам)
@lay, спасибо за наводку на vaultwarden, обязательно буду тестить.
Я использую KeepassX, но храню его базу в encfs разделе который синхронизируется с Dropbox.
В итоге в облаке есть бэкап базы паролей и он хранится не в открытом виде.
Ведь раньше был нормально работающий 1password.
На самом деле, self-hosted решение идеальный вариант, потому что вы контролируете это всё у себя на машине, можете закрыть её под vpn и никто не узнает о её существовании. Наверняка после захочется захостить уже что-то другое, свой pet проект или сокращатель ссылок или что-то другое.
Все аргументы, что упадёт и придётся самому поднять это в современном мире ни о чём, мы так-же можем просто развернуть это всё в Docker контейнере и дата центры tier-3 класса позволяют не беспокоится о том, что что-то пойдет не так. Self-hosted бывает разный и всё зависит полностью от вас. Полный контроль над ситуацией.
Чисто потому, что надоело продлевать премиум. А в selfhosted это и так все есть.
Если сравнивать cloud bitwarden и self-hosted аналог, то чтобы добиться аналогичного уровня безопасности, нужно потратить сильно больше деняк.
Достаточно мощный vps стоит дороже, чем годовая подписка. Варианты хостить на своей машине я вообще рассматривать не буду, они совсем ненадежные.
Тратить столько на риски, вероятность которых даже толком оценить нельзя, кажется мне неправильным.
Правда, если пользователей много (больше 6), то вариант с self-hosted
уже выглядит довольно привлекательно, так как затраты уравниваются. Но это совсем не мой случай.
Можно хостить хоть все у себя на сервере с желанием достичь полного контроля над ситуацией и безопасности, но каждая вещь, которую вы пытаетесь контроллировать сами загружает оперативную память вашего мозга и в итоге не решает главную проблему - окей, пароли 100% у вас. А у вас точно безопаснее?
Допустим. Но ваша ОЗУ, где все эти пароли в неизвестном виде, точно не контроллируется никаким процессом? Доверяете KeePass? Но даже он в свое время имел такую уязвимость
С чего начинается Родина? То есть, с чего начинается ИБ? С определение защищаемого периметра, у облака его нет, значит и ИБ нормально не выстроить. Но и идея "self-hosted" мне не нравится, потому что оно торчит где-то во вне, так что просто локальное приложение с базой на зашифрованном диске, запускаемое по мере необходимости.
P.S. И да, я из тех людей, кто не синхронизирует свои фотографии через облако.