KeePassXC, nebo Bitwarden: kde offline trezor nestačí

KeePassXC dává smysl, pokud chcete mít databázi hesel jen ve své správě a umíte zajistit její zálohy. Bitwarden je praktičtější, pokud hesla často měníte na více zařízeních a chcete je synchronizovat bez správy souboru. Místní uložení omezuje jednu cestu vzdáleného útoku, samo však neochrání před podvodnou přihlašovací stránkou ani před ztrátou jediné kopie trezoru.

Rozhodující je, co potřebujete ochránit a co jste ochotni spravovat. KeePassXC svěřuje umístění souboru, synchronizaci a obnovu uživateli. Bitwarden přenáší šifrovaná data přes službu, takže usnadňuje přechod mezi zařízeními, ale přístup k účtu a hlavní heslo zůstávají zásadní. Žádný z těchto modelů neřeší všechny hrozby stejně dobře.

Když se útočník dostane k serveru

Dokumentace KeePassXC popisuje šifrovanou databázi KDBX a vysvětluje, že aplikace nemá vlastní cloudovou synchronizaci: soubor může zůstat pouze lokálně nebo jej lze uložit do synchronizované složky podle vlastní volby. Pokud zůstane na vašich zařízeních, únik dat ze serveru provozovatele správce hesel jej nemůže zahrnout. Vložením KDBX do cizího cloudu se tato hranice mění; bezpečnost pak závisí také na zvoleném úložišti a jeho účtu.

Bitwarden ukládá kopii trezoru na server, ale ne v čitelné podobě. Jeho bezpečnostní dokument uvádí, že klient šifruje data před odesláním, hlavní klíč se na server neukládá ani neposílá a uživatelský symetrický klíč se chrání pomocí AES-256. Server uchovává jeho zašifrovanou podobu. Útočník se získanou kopií šifrovaného trezoru proto stále musí překonat jeho ochranu; slabé hlavní heslo by mu útok usnadnilo.

Rozdíl tedy nespočívá v tom, že by server Bitwardenu běžně četl hesla. KeePassXC umožňuje vzdálenou kopii úplně vynechat, zatímco Bitwarden její existenci přijímá jako součást synchronizace a chrání její obsah šifrováním na zařízení. Kdo používá KeePassXC se synchronizací přes cloudovou složku, musí posuzovat i tento další účet, přestože samotný KDBX zůstává šifrovaný.

Phishing a paměť: co skutečně ukázalo srovnání

Penetrační studie Petra Galluse, Dominika Staňka a Iva Klabana hodnotí Bitwarden lépe než společnou položku KeePass/KeePassXC v ochraně proti phishingu, zabezpečení záloh a práci s citlivými údaji v paměti. Při phishingové zkoušce autoři použili napodobeninu přihlašovací stránky a sledovali, zda správce nabídne uložené údaje na nesprávné adrese. To je jiná otázka než místo, kde leží šifrovaný trezor: podvodná stránka se snaží získat heslo ve chvíli, kdy je uživatel používá.

Výsledek má podstatnou hranici. Studie sdružuje KeePass a KeePassXC do jedné položky, ale v popisu nálezu čitelných hesel v paměti jmenuje výslovně KeePass. Neuvádí takové rozlišení verzí a nastavení, které by dovolovalo převést tento nález na každou instalaci KeePassXC. Její tvrzení o slabší ochraně záloh navíc nelze číst jako tvrzení, že soubor KDBX sám ukládá hesla bez šifrování.

KeePassXC podporuje rozšíření KeePassXC-Browser. Při přihlašování přes propojený prohlížeč proto záleží na tom, zda nabídka odpovídá uložené webové adrese; při ručním kopírování hesla rozhoduje více úsudek uživatele. Ani odmítnutí automatického vyplnění není úplnou obranou, pokud člověk heslo do podvodného formuláře vloží sám. Na napadeném počítači může útočník navíc sledovat údaje používané v odemčeném trezoru bez ohledu na to, zda zašifrovaná databáze leží lokálně či na serveru.

Ztracená databáze a ztracený přístup nejsou stejný problém

Obnova databáze KeePassXC závisí na dostupné záloze i případném klíčovém souboru.

U KeePassXC musíte mít obnovitelnou kopii KDBX mimo místo, jehož ztráty se obáváte. Pokud zmizí jediný soubor, šifrování z něj hesla nevrátí. Je-li k otevření databáze potřeba také klíčový soubor, musí zůstat dostupný i ten; ztráta klíčového souboru znepřístupní také neporušenou zálohu. Oddělené uložení těchto součástí může snížit riziko jejich společného odcizení, ale zvyšuje nároky na obnovu.

Bitwarden usnadňuje návrat po ztrátě telefonu či počítače, protože synchronizovaný trezor lze znovu získat na jiném zařízení po přihlášení. Ztráta zařízení však není totéž co zapomenuté hlavní heslo. Bez předem připraveného způsobu nouzového přístupu či odpovídající obnovy účtu může být šifrovaný obsah nedostupný i tehdy, když jeho kopie na serveru stále existuje. Podobně synchronizace sama nenahradí možnost vrátit omylem změněnou nebo smazanou položku do požadovaného stavu.

Pro místní databázi je proto klíčové vědět, zda existuje čitelná záložní kopie a zda jsou k ní dostupné všechny potřebné prostředky k odemčení. U synchronizované služby je třeba rozlišit obnovu po ztrátě zařízení od obnovy přístupu k účtu. První situaci Bitwarden zjednodušuje, druhá závisí na tom, co si uživatel připravil předem.

Více zařízení a výpadek připojení

Odemčený trezor Bitwarden zůstává bez připojení dostupný ke čtení, nikoli k úpravám.

Bitwarden přenáší změny mezi klienty prostřednictvím služby. Při běžném střídání telefonu a počítače tak odpadá rozhodování, která kopie databáze je nejnovější, i výběr samostatného nástroje pro synchronizaci. Nové zařízení se ovšem musí k účtu připojit. KeePassXC lze používat s místním KDBX bez spojení se službou, ale aktualizace provedené na různých zařízeních je nutné bezpečně sjednotit.

Výpadek internetu nepřipraví uživatele Bitwardenu automaticky o všechna uložená hesla. Pokyny Bitwardenu pro režim bez připojení dovolují v již odemčené aplikaci trezor číst; přidávání a úpravy položek v tomto režimu dostupné nejsou. U KeePassXC může práce s místní databází pokračovat i se změnami. Výhoda je výrazná tam, kde je připojení nespolehlivé, zatímco při častých úpravách na několika zařízeních roste práce se synchronizací souboru.

Jakou váhu má certifikace KeePassXC

Přehled bezpečnostních posouzení KeePassXC uvádí certifikaci ANSSI CSPN pro verzi 2.7.9 na Windows 10, udělenou 17. listopadu 2025 a platnou do 17. listopadu 2028; samostatná revize zdrojového kódu se týkala verze 2.7.4. Jde o konkrétní posouzení verze a prostředí. Certifikace neposuzuje zálohovací postup uživatele, jeho cloudové úložiště ani to, zda vloží heslo na správnou stránku.

Stejně omezený je význam srovnávacího testu pro individuální volbu: jeho výsledky popisují testované scénáře, zatímco certifikace posuzuje vymezenou verzi produktu. Obě informace pomáhají určit, kde hledat riziko, ale konečné chování trezoru ovlivní také způsob přihlašování, umístění kopií a stav zařízení.

Volba podle nejdůležitější hrozby

Vzdálené uložení: KeePassXC s databází ponechanou jen na vlastních zařízeních tuto cestu útoku omezuje. Synchronizace přes cizí cloud přidává další účet a úložiště.
Podvodná přihlašovací stránka: záleží na vazbě uloženého přihlášení k adrese webu a na tom, zda heslo vyplňuje rozšíření, nebo uživatel ručně. Ve zveřejněném srovnání dopadl Bitwarden lépe, závěr pro KeePassXC však omezuje společné hodnocení s KeePass.
Ztráta zařízení či souboru: Bitwarden usnadňuje získání synchronizovaného trezoru na jiném zařízení. KeePassXC vyžaduje dostupnou kopii KDBX a případného klíčového souboru.
Časté změny na více zařízeních: Bitwarden přebírá běžnou synchronizaci. U KeePassXC si způsob přenosu a správu kopií volí uživatel.
Práce bez sítě: místní KDBX v KeePassXC lze dál upravovat; již odemčený Bitwarden nabízí uložené údaje ke čtení.

Pokud je vaším pevným požadavkem nepředávat kopii trezoru vzdálené službě, zvolte KeePassXC spolu se spolehlivým způsobem zálohování. Pokud potřebujete hesla průběžně na několika zařízeních a nechcete spravovat synchronizaci KDBX, dává větší smysl Bitwarden. V obou případech zůstává ochrana před phishingem a zabezpečení používaného zařízení samostatnou součástí rozhodnutí.

Přečtěte si také: