Bitwarden или KeePassXC: синхронизацијата ја менува површината за напад

Ако лозинките ви требаат на повеќе уреди, Bitwarden го поедноставува пристапот: според безбедносниот опис на Bitwarden, трезорот се шифрира на уредот пред да се синхронизира. Серверската копија е шифрирана, но сметката, серверот и секој поврзан уред стануваат дел од моделот на закани. Тоа е цената на автоматската достапност, а не доказ дека серверот може да ги чита лозинките.

Ако сакате сами да одредите каде ќе постои базата, KeePassXC стандардно ја чува локално. Документацијата на KeePassXC го опишува шифрираниот формат KDBX и синхронизацијата преку услуга што ја избира корисникот. Со локална база нема задолжителна серверска копија, но пристапот од друг уред и резервните копии зависат од вашата организација.

Каде завршуваат копиите при синхронизација

Кај Bitwarden, измените направени во апликацијата се испраќаат до серверот во шифрирана форма, а другите поврзани уреди го преземаат трезорот при синхронизација. Затоа губењето на еден телефон не мора да значи губење на сите зачувани записи. Воедно, секој уред на кој го отклучувате трезорот е место каде што апликацијата мора да ракува со откриени тајни.

Кај KeePassXC, KDBX датотеката може да остане на еден компјутер. Ако ја ставите во папка што се синхронизира преку надворешна услуга, таа услуга ќе добие копија од шифрираната датотека. Тогаш разликата е во тоа кој ја избрал услугата и кој ги решава прекините или судирите меѓу изменети копии. Локалната контрола е најјасна кога знаете каде се наоѓа секоја копија; со повеќе уреди, одржувањето на тие копии бара дополнителна грижа.

Што се случува по губење уред или пристап

Синхронизираниот трезор на Bitwarden може повторно да се преземе на нов уред ако сè уште можете да се најавите и да го дешифрирате. Но синхронизацијата не ја враќа заборавената главна лозинка. Итниот пристап преку доверливо лице и организациското враќање имаат посебни предуслови; достапноста на шифрираната копија сама по себе не гарантира дека ќе можете да ја отворите.

Со KeePassXC, резервна KDBX датотека овозможува продолжување по дефект или губење на компјутерот, под услов да го имате сето потребно за отклучување. Ако последната копија била само на изгубениот уред, нема сервер од кој автоматски ќе ја преземете. Ако користите и датотека со клуч, мора да ја зачувате и неа: резервната база без потребниот клуч не го решава проблемот. Изборот на локално чување затоа ја префрла одговорноста за враќање кај корисникот.

Што покажува форензичката анализа на уредите

Форензичката анализа на Политехничкиот институт во Леирија ги испитала десктоп апликацијата и проширувањето на Bitwarden 2024.11.2, сопствено хостиран сервер 2024.10.2, како и KeePassXC 2.7.9 и неговото проширување 1.9.7. Тестовите биле спроведени во контролирани околини со Windows и Linux. Нивните наоди се однесуваат на тие верзии и услови, па не опишуваат автоматски како ќе се однесува секое поново издание.

Во испитаните околини, проширувањето на Bitwarden оставало локално зачувани шифрирани податоци и метаподатоци за трезорот. Проширувањето на KeePassXC главно служело како врска со десктоп апликацијата, додека самата база останувала во KDBX датотеката. Тоа дава различни места за форензичко испитување: кај едниот производ и во податоците на прелистувачот, кај другиот првенствено во датотеката и процесот на апликацијата.

Кога трезорот бил отклучен, анализата нашла читливи тајни во меморијата на испитаните конфигурации. Во одредени тестови со проширувањето на Bitwarden биле забележани и остатоци од главната лозинка по заклучување; кај испитаниот KeePassXC такви траги не биле најдени по заклучување со користените методи. Ова е разлика во забележаните траги, а не гаранција против злонамерен софтвер на отклучен уред. Шифрираната датотека и активната апликација претставуваат различни цели за напад.

Таблата за копирање и passkeys

Во форензички испитаниот KeePassXC, копираните податоци стандардно се бришеле од таблата за копирање по 10 секунди. Кај тогаш испитаниот Bitwarden автоматското чистење не било стандардно вклучено. Сепак, во двата теста копирана лозинка можела да се прочита додека сè уште стоела во таблата; мерките што ја сокриваат од вообичаената историја на копирање не ја прават невидлива за секоја програма.

Поставката на Bitwarden во меѓувреме се променила: упатството за проширувањето наведува стандардно чистење на копираните вредности по пет минути. Затоа историскиот тест не треба да се чита како опис на денешната стандардна поставка. При автоматско пополнување, пак, лозинката не мора да минува низ таблата за копирање; изложеноста зависи и од начинот на внесување.

Двата менаџери можат да чуваат passkeys за најавување на веб-услуги, но passkey за веб-страница не е исто што и начин за отворање на менаџерот. Bitwarden поддржува најавување со passkey и може да го дешифрира трезорот кога passkey и околината ја поддржуваат потребната PRF функција. Во анализираната верзија KeePassXC ги чувал passkeys во KDBX базата и ги користел преку проширувањето за веб-најавување, но не и за отклучување на самата база. Разликата е важна кога планирате како ќе пристапите до трезорот по промена на уред.

Колку кажуваат независните проверки

Регистарот на проверки на KeePassXC наведува ANSSI Security Visa за верзијата 2.7.9 на Windows 10, со важност до 17 ноември 2028 година, како и независна проверка на изворниот код на постара верзија. Сертификацијата има точно определен опфат: не се пренесува автоматски на друга верзија, оперативен систем или начин на синхронизација. Форензичката анализа дава поинаков вид доказ, бидејќи го испитува однесувањето на конкретни инсталации при употреба.

Ако главната грижа ви е компромитиран сервер, локална база без надворешна синхронизација го отстранува тој задолжителен примерок. Ако главната грижа е губење на единствениот уред, автоматската синхронизација го олеснува враќањето на шифрираните записи, но пристапот и понатаму зависи од начинот на отклучување. При злонамерен софтвер на веќе отклучен уред, местото каде што се чува шифрираниот трезор е само дел од ризикот: тајните мора да станат достапни на самиот уред за да ги користите.

Прочитајте и:

• Plausible или Umami: 1,8 GB наспроти 400 MB го менува self-hosting изборот
• AWS Savings Plans или Reserved Instances: заклучувањето ја менува заштедата
• Dropbox или Google Drive: побрзата синхронизација губи на бесплатен простор