Стоит ли доверять облачным менеджерам паролей типа Bitwarden или лучше KeePass

[Rhemix]

Давно использую блокнот (да, я знаю) для паролей, пора переходить на что-то нормальное. Смотрю на Bitwarden и KeePass — первый удобнее, второй хранит локально. Меня беспокоит: если Bitwarden взломают, мои пароли утекут? Или там всё зашифровано так что даже они не могут прочитать? И можно ли вообще доверять закрытому облаку чужих паролей?

[coder_vasya]

Bitwarden использует end-to-end шифрование: хранилище шифруется на вашем устройстве до отправки на сервер. Ключ шифрования derives из мастер-пароля через PBKDF2 (или Argon2id в новых версиях) — сервер физически не может расшифровать ваши данные, он хранит только зашифрованный blob. Это подтверждено независимым аудитом (Cure53, 2020 и 2022). Код open source, можно проверить самому.

[prometheusadmin]

Главный риск облачного менеджера — это не взлом сервера, а компрометация вашего мастер-пароля или устройства. Если мастер-пароль утечёт или на устройстве будет кейлоггер, никакое шифрование не поможет. Поэтому мастер-пароль должен быть длинным и уникальным, и обязательно включи двухфакторку (TOTP или аппаратный ключ типа YubiKey).

[kuhns]

KeePass vs Bitwarden — это компромисс между контролем и удобством. KeePass: файл у тебя, никто другой не хранит твои данные, можно синхронизировать через свой Nextcloud или просто флешку. Bitwarden: автозаполнение работает везде из коробки, синхронизация между устройствами автоматическая. Лично я выбрал Vaultwarden (self-hosted Bitwarden-совместимый сервер на Rust) — получаю удобство Bitwarden при полном контроле над данными. Поднимается за 10 минут в Docker.

[hhhhhhhhh]

Для параноиков есть промежуточный вариант: KeePassXC с синхронизацией базы через зашифрованное облако (Cryptomator + любое облако). Тогда база зашифрована дважды — самим KeePass и Cryptomator. Но это неудобно на мобилке, там нужен KeePassDX и ручная синхронизация.

[rocknrolla]

Если всё же выбираешь Bitwarden — настрой количество итераций KDF на максимум который не тормозит вход (рекомендуют минимум 600 000 для PBKDF2 или Argon2id с настройками по умолчанию). Это сильно усложняет брутфорс мастер-пароля. Настройка в аккаунте: Account Settings → Security → Keys.

[admin_misha]

Практически любой нормальный менеджер паролей лучше блокнота и уж точно лучше одного пароля на всё. Не ищи идеальное решение, начни с Bitwarden — бесплатного и опенсорсного. Потом разберёшься и переедешь если надо.

[kennysin]

Прошёл весь этот путь: блокнот → KeePass → Bitwarden. Неожиданный бонус облачного менеджера, о котором тут не сказали: автозаполнение — это само по себе защита от фишинга. Расширение подставит пароль только на настоящем домене, на каком-нибудь bitwarden-login.com оно просто промолчит, а глазами поддельный адрес замечаешь далеко не всегда. С блокнотом и копипастой такой страховки нет вообще.

[user_pasha]

@kuhns, Vaultwarden хорош, но честно скажи человеку и обратную сторону: ты сам становишься своей точкой отказа. У меня как-то умер диск на сервере, и спасло только то, что бэкап sqlite-базы лился по крону на другую машину. Клиенты, правда, держат локальный кэш и в read-only живут даже при лежащем сервере, но новые пароли в этот момент сохранять некуда. Так что бэкапы плюс проверка восстановления обязательны, иначе человеку с блокнотом лучше уж официальное облако.

[klop45]

@rocknrolla, дополню: у старых аккаунтов итерации могли остаться на легаси-значении вроде 100 000, сами они не мигрируют — надо руками зайти и поднять. И важный нюанс: смена KDF разлогинивает сразу все устройства, так что делать это лучше не в дороге, заранее убедившись, что мастер-пароль помнишь и recovery code для двухфакторки сохранён.