Názory k článku
Správce hesel LastPass mění podmínky účtů zdarma
-
Premigroval som z Lastpass na Bitwarden a musim uznat, ze je to omnoho intuitivnejsie UI. Na rozdiel od Lastpass je to open source projekt, ktory presiel auditom. Taktiez maju free verzi, ale 10$/rok za premium mi pride ako super sposob, ako podporit open source projekt. Za mna naprosta spokojenost.
17. 2. 2021, 10:42 editováno autorem komentáře
-
Takze to vypada, ze nastal cas na prechod na https://bitwarden.com/.
Ked stal Lastpass premium 1€/mesiac tak som ich podporil (aj ked som to realne az ta nepotreboval).
Po zvyseni ceny som sa vratil na Free a s tymito divnymi zmenami uz stacilo. -
Je to IMO podobny pristup ako pouzivat keepass a synchronizovat cez nejaky 3rd party cloud storage. Do istej miery to funguje, ale ked zacnes pozadovat veci typu password sharing a podobne tak to zacina byt velmi komplikovane. (zvlast ak zdielas hesla s inymi menej technicky naklonenymi clenmi rodiny napriklad)
Stale to zavisi na nejakej 3rd party sluzbe ktora ti tie data synchronizuje, len proste na to pouzivas nejaky viac vseobecny protokol. (iCloud, WebDav, GDrive,..)
Neviem ako je na tom LastPass, ale Bitwarden ma celu databazu sifrovanu client-side a ten synchronizacny server ma relativne jednoduche API ktore synchronizuje uz len sifrovane data - ked trochu prizmuris oci tak je to skoro ako synchronizovat SafeInCloud (alebo Keepass) databazu cez iCloud, ale tym, ze Bitwarden pouziva svoj vlastny protokol, vie byt okolo tej synchronizacie trosku inteligentnejsie a napriklad mat to zdielanie.
Ja osobne som skoncil s tym, ze si Bitwarden server hostujem sam. (s pouzitim bitwarden_rs, co je 3rd party neoficialna implementacia server API) Tam mam nad tou sluzbou dostatocnu kontrolu a viem ze aj keby oficialna upstream sluzba uplne zanikla, tak ja si tem moj service mozem nadalej prevadzkovat. Pre par pouzivatelov to bez problemov bude bezat (teraz hovorim o bitwarden_rs) aj na raspberry pi zero za $5.
Kedysi som do bitwarden_rs prispieval takze som asi trochu biased, ale podla mna je to omnoho komfortnejsie ako synchronizovat password databazy cez nejaky 3rd party protokol. (co bolo inak presne to co som robil predtym a tie obcasne problemy ma doviedli k tomu dopisat podporu pre password sharing pre bitwarden_rs) Ale ak si myslis, ze to bude pre teba fungovat v pohode, kludne SafeInCloud vyskusaj. (nevidim tam nejaku vyhodu oproti opensource keepass - tak pripadne zauvazuj nad tym)
-
přes csv, exportem z lastpass a importem v bitwardenu
https://www.ghacks.net/2021/02/17/how-to-migrate-from-lastpass-to-bitwarden-password-manager/
17. 2. 2021, 14:07 editováno autorem komentáře
-
Prosim prosim, mohl by me nekdo vysvetlit, proc tolik lidi doporucuje bitwarden? Protoze jesli to spravne chapu, tak jsou synchronizovana jednotliva hesla a provozovatel toho cloudu zna k cemu ty hesla jsou (nebo dokonce ty samotna hesla?). Naproti tomu KeePass (nebo KeePassXC) synchronizuje cely kontajner, kdy jej mohu synchronizovat vice zpusoby, nejsem odsouzeny na jedineho provozovatele a duveru, ze nezklame.
-
-
-
Filip JirsákStříbrný podporovatelStejně tak není v silách nikoho dělat audit kódu každé nové verze pluginu do prohlížeče nebo nativní aplikace. Aplikace pro správu hesel bude vždy založená na důvěře. Rozdíl je prakticky jenom v tom, zda aplikace dělá maximum pro ochranu hesel (vše na serveru je zašifrované, ale musíte důvěřovat klientské aplikaci), nebo zda musíte aplikaci důvěřovat absolutně (jména a hesla odesílá v otevřeném tvaru na server – přece důvěřujete autorům aplikace, tak jim důvěřujete i v tom, že s hesly na serveru zacházejí správně a nezneužijí je).
Samozřejmě můžete klientskou aplikaci omezit tak, že nebude komunikovat vůbec s ničím. Což podle mne ale bezpečnost naopak snižuje – protože pak někdy musím hesla opisovat, a hrozí, že podlehnu phishingu, nebo heslo někdo odpozoruje. Proto považuju za bezpečnější, když se hesla synchronizují a vyplňují v prohlížeči, i za cenu, že aplikace musí komunikovat s okolním světem.
-
Jenze v pripade nativni appky je jina situace. Nemusite provadet audit, staci overit hash. Tim je overene, ze mate stejny kod jako ostatni a staci aby to overil ze to nesedi jediny clovek a prijde se na to. Dokonce staci existence te moznosti.
Naproti tomu HASH javascripti v prohlizeci neni jak overit. Neni problem dorucit "zajmovym" osobam jiny kod a nikdo si toho nevsimne. -
Filip JirsákStříbrný podporovatel
Pokud vám jde jen o ověření hashe, to by se v prohlížeči dalo řešit – rozšířením nebo proxy serverem. Podle mne podstatně větší problém je to, aby někdo důvěryhodný reálně ten audit udělal.
-
Cituji z dokumentace :
"Bitwarden always encrypts and/or hashes your data on your local device before anything is sent to cloud servers for storage. Bitwarden servers are only used for storing encrypted data. For more information, see Storage."
https://bitwarden.com/help/article/what-encryption-is-used/A také více v https://bitwarden.com/help/article/data-storage/
-
Jenze to, ze se to sifruje a desifruje u me je v okamziku existence web vault snad uplne jedno ne? Vse co se v prohlizeci zobrazi ma pod kontrolou primo nebo neprimo a hlavne obousmerne provozovatel sluzby. Jinak receno pri kompromitaci sluzby jsem v ... bez ohledu na to sifrovani ne? Nebo me neco unika?
-
to tak není pravda, i plugin do prohlížeče je open source, můžeš mít svůj. Servovou část můžeš mít také vlastní. Případně lze zakázat automatické aktualizace prohlížeče a držet se staršího pluginu.
Otázka co je horší, kopírovat hesla přes schránku, ke které má přístup každá spuštěná aplikace (a dokonce i stránky samotné) nebo mít plugin v prohlížeči, který má hesla rozšiřovaný.
-
Filip JirsákStříbrný podporovatel
Hlavně při tom kopírování hesla přes schránku je jenom na uživateli, aby si zkontroloval, zda heslo vkládá do pravé stránky. V případě doplňku v prohlížeči by měl uživatel velice zpozornět, když mu heslo, které má uložené, doplněk nenabídne automaticky. Pro mne je tohle vlastně důležitější funkce správce hesel, než to, že mi umožňuje snadno používat silná unikátní hesla.
-
A ještě bezpečnostní audit :
https://bitwarden.com/blog/post/bitwarden-network-security-assessment-2020/ -
no, bezpečnostní audit, tohle je spíše výsledek nějakého automatického skenu či něco podobného, určitě to není bezpečnostní audit jak by člověk čekal.
Code review od Cure53 proběhlo před 3 lety, https://cdn.bitwarden.com/misc/Bitwarden%20Security%20Assessment%20Report.pdf, od té doby se ale značná část kódu změnila, viz pro serverovou část https://github.com/bitwarden/server/graphs/code-frequency nebo pro mobilní aplikaci https://github.com/bitwarden/mobile/graphs/code-frequency. Změny nastaly i v částech, které se starají i šifrování.
Dneska bych teda bezpečnostním auditem již neargumentoval. Je to dobrá známka toho, že na to dbají, ale po několika letech a spoustách změn v kódu již není platný. K dobru také mluví, že drtivou většinu změn pořád dělá sám CTO a nových vývojářů zase tolik není, kvalitu kódu lze čekat tedy podobnou.
-
no zrovna keePass mě připadá jako horší varianta, ty jeho super funkce, kdy změnou nastavení je možné ho donutit hesla exportovat je prostě super.
Nevýhoda KeePassu ale je pro mě nemožnost to plnohodnotně používat v týmu, na více zařízeních. Prostě poslední kdo to uloží, přepíše poslední změny ostatním.
bitwarden nevidí ani metadata k heslům.
-
Pridam historii tvurce https://de.linkedin.com/in/sascha-p-8a792655
You are a Security Enthusiast
Security is one of the major points that Psono should do right. We happily invite you to take a look and play around with it. Try to break it and let us know if (when) you succeed.https://addons.mozilla.org/en-US/firefox/addon/psono-pw-password-manager/privacy/
Ucty na GA, MailJet.com/fr ... to me znepokojuje
Nejsem odbornik tak me zajima jestli jsou data zasifrovana v clientovi driv nez jsou zpracovana k poslani do tech tretich serveru?
-
Ale vim, ze oficialni client neni poviny https://doc.psono.com/admin/overview/summary.html#overview
-
Já osobně používám unixový pass. Synchroinizace pomocí GIT repozitáře, takže mám historii změn a nepřepíšu si heslo změněné jinde, možnost přístupu více lidí (zde je to nevýhoda, že každý má přístup všude). Doplňky pro prohlížeče existují, používám i na Androidu, přístup přes CLI. Pro mne co víc si přát. Nevýhoda je, že se dá vyčíst kde má člověk účty.
-
pass je super, používáme na různá hesla pro databáze, jks a jiné technické věci, kde můžeme heslo poslat rovnou na vstup pro zadání hesla. Používat to pro webové schránky s sebou nese právě riziko, že musíš heslo přenést přes schránku, ve které zůstane i po použití (pass nemá daemona a není tak schopný heslo po chvilce vymazat), je to díky tomu také náchylné na phishing, člověk není dobrý v kontrole toho, jestli je na správné adrese.
-
Ale můžeš toto vyřešit přes doplněk prohlížeče - toto zrovna funguje dobře. Mám například strukturu:
moje/root.cz a v root.cz mám:
H35l0
login: usernamePotom mi doplněk prohlížeče automaticky nabídne při přihlašování na (sub)doménu root.cz právě tento login a heslo. Což se nestane v případě, že bych se přihlašoval na r00t.cz... Kliknutím na záznam se tento doplní do formuláře a ve schránce nic není.
Jen je tu ta nevýhoda, že jsou vidět služby, které používám.
-
Filip JirsákStříbrný podporovatel
No a co těch zbývajících 5 %? Umí správce hesel ve FF OTP? Umí k heslům ukládat další informace?
-
Filip JirsákStříbrný podporovatel
OTP se používá pro dvoufaktorovou autentizaci. Klient se serverem si na začátku vymění klíč, a na základě toho klíče je pak generováno jednorázové heslo. Nejčastěji se používá generování založené na čase – po dobu obvykle 30 sekund je platné jedno heslo.
Typické (bezpečnější) použití je, že máte generátor jednorázových hesel (a tedy klíče) v mobilu a přihlašujete se na počítači – heslo tedy musíte z mobilu do počítače opsat. Ale můžete mít ty klíče uložené i ve správci hesel a generovat je z něj (pokud to umí). Je to sice méně bezpečné (není to plnohodnotný druhý faktor, protože heslo i klíč pro jednorázové heslo jsou v jednom úložišti chráněné jedním heslem), ale pro méně důležité weby to podle mne stačí.
Co se týče dalších informací – je spousta webů, kde potřebuji s přihlašovacími údaji uložit něco dalšího, často bezpečně (jako heslo). Například některé weby mají „bezpečnostní“ otázky (některé dokonce povinné), někde je vedle PINu ještě PUK (případně je těch PINů a PUKů víc) atd.
