Bitwarden eller 1Password? 12 mod 2 angrebsveje ændrer valget

Bitwarden er det oplagte valg, hvis familien prioriterer en lav abonnementspris, åben kildekode og plads til flere medlemmer. 1Password er værd at betale mere for, hvis en familieorganisators hjælp ved mistet adgang og beskyttelsen med en særskilt Secret Key vejer tungere. I forskernes oprindelige opgørelse havde Bitwarden 12 angrebsveje og 1Password 2 under antagelsen om en fuldt ondsindet server.

Det sikkerhedstal kan ændre vægtningen, men ikke afgøre valget alene. Den udvidede forskningsartikel, senest revideret i august 2026, opregner 12 angreb mod Bitwarden og 6 mod 1Password efter yderligere analyse. Begge optællinger beskriver forskernes forsøg under en bestemt trusselsmodel; de er ikke en måling af, hvor ofte familier bliver ramt.

Familieprisen afhænger af pladser og fornyelse

Bitwardens Families-plan koster 47,88 dollar om året før skat og omfatter op til 6 Premium-konti. Medlemmerne har hver deres private boks og kan dele udvalgte adgangskoder gennem fælles samlinger. Prisen bliver 7,98 dollar pr. person om året, hvis alle pladser bruges; den samlede betaling falder ikke, fordi familien bruger færre konti.

Hos 1Password omfatter Families-grundplanen 5 brugere og koster 4,49 dollar pr. måned ved årlig betaling i det første kampagneår for nye kunder, mens den almindelige pris er 5,99 dollar pr. måned ved årlig betaling. Det svarer til henholdsvis 53,88 og 71,88 dollar for et år. Kampagnen gælder ved direkte køb hos 1Password, så den lave sats er et dårligt grundlag for at bedømme den løbende udgift.

For en familie i Danmark er de oplyste dollarpriser bedst som sammenlignelige listepriser. Betalingen i kroner afhænger blandt andet af den pris og eventuelle afgifter, der vises ved bestilling, samt kortets omregning. En familie med behov for flere pladser end 1Passwords grundplan rummer, må desuden undersøge prisen for ekstra medlemmer, før den sammenligner den med Bitwardens årsbeløb.

Hvad forskerne faktisk angreb

Forskerne undersøgte, hvad der kan ske, hvis en angriber kontrollerer passwordmanagerens server og får den til at sende manipulerede data til brugernes klienter. Det er en mere vidtgående situation end tyveri af en kopi af krypterede bokse. Serveren kan i forsøget gribe ind i synkronisering, deling og håndtering af nøgler, netop mens brugeren udfører normale handlinger.

Angrebene har heller ikke ens konsekvens. Nogle handler om at ændre eller afsløre bestemte oplysninger; andre kan under deres forudsætninger give adgang til langt mere. En angrebsvej knyttet til deling er derfor ikke direkte sammenlignelig med en vej til en hel boks. Optællingen siger, at forskerne fandt konkrete svagheder i de undersøgte opsætninger, ikke at et produkt er tilsvarende mange gange farligere i daglig brug.

Den senere udvidelse af analysen af 1Password gør forskellen særlig vigtig. Den oprindelige optælling kan give en familie god grund til at interessere sig for beskyttelsen mod en kompromitteret server, men det ældre tal er ikke en fast sikkerhedskarakter. Forskerne beskriver afhjælpning hos leverandørerne som igangværende; de offentliggjorte angreb kan derfor heller ikke uden videre bruges som en liste over forhold, der stadig virker mod opdaterede klienter.

Åben kode og Secret Key beskytter på forskellige måder

Bitwardens åbne kildekode giver uafhængige fagfolk mulighed for at undersøge implementeringen. Det gør sikkerhedsvalg mere synlige og gør det muligt at finde fejl, men åben kode er ikke i sig selv en garanti mod de angreb, forskerne beskriver. Bitwarden kan også drives på egen server. For en familie, der vælger den mulighed, flytter arbejdet med drift og opdateringer med over til familien; brugere af den almindelige hosted tjeneste får ikke automatisk en anden trusselsmodel.

1Passwords Secret Key er en hemmelighed ved siden af kontoadgangskoden. Kombinationen gør det væsentligt vanskeligere at gætte adgangskoden ud fra data fra serveren, selv hvis adgangskoden er svagere, end den burde være. Den ekstra hemmelighed ændrer dog ikke ved, at klienten skal kunne stole på visse oplysninger, den modtager under brug. Forskernes angreb mod 1Password viser, hvorfor arkitekturen skal vurderes bredere end beskyttelsen mod adgangskodegætning.

For familien er forskellen også praktisk. Åben kode giver indblik i Bitwardens konstruktion, mens 1Passwords ekstra hemmelighed føjer et beskyttelseslag til den enkelte konto. Ingen af egenskaberne erstatter løbende opdateringer eller en gennemtænkt måde at dele og gendanne adgang på. Hvor tungt de skal veje, afhænger af, om familien især bekymrer sig om en kompromitteret server, mistet adgang eller den daglige administration.

Hvem kan hjælpe, når et medlem mister adgang?

Begge tjenester lader medlemmer beholde private oplysninger for sig selv og dele bestemte loginoplysninger med familien. I Bitwarden styres delingen gennem samlinger, så en adgangskode kan gives til de medlemmer, der har brug for den, uden at hele den personlige boks deles. Planen omfatter også nødadgang, men den forudsætter, at kontoejeren på forhånd har udpeget en betroet person. At administrere familieabonnementet giver ikke i sig selv adgang til alles private bokse.

En familieorganisator hos 1Password kan ifølge vejledningen om kontogendannelse hjælpe et medlem, der ikke længere kan logge ind: Medlemmet får en ny Secret Key, opretter en ny kontoadgangskode og kan derefter få adgang til sine tidligere data. Medlemmer kan også oprette egne gendannelseskoder. Organisatorens hjælp er mest nyttig, når familien faktisk har en anden person med den nødvendige adgang til at gennemføre gendannelsen.

Det giver en konkret skillelinje i valget. Bitwarden passer godt til familien, der vil betale mindre, har brug for den ekstra plads og er indstillet på at aftale nødadgang på forhånd. 1Password passer bedre, hvis organiseret kontogendannelse har stor værdi i husstanden, og den højere pris ved fornyelse er acceptabel. Forskningsresultaterne giver samtidig grund til at tage sikkerhedsarkitekturen alvorligt uden at gøre en enkelt optælling til dom over begge tjenester.

Læs også:

• Bitwarden eller 1Password: Lav pris eller en ekstra hemmelig nøgle?
• Docker eller Podman: Rootless-sikkerhed har en målbar pris
• Midjourney eller Firefly? Kommercielle rettigheder ændrer valget