1Password či Bitwarden: audity a správa účtov

Bitwarden dáva záujemcovi o preveriteľnosť kódu viac verejne rozčlenených správ. Prehľad auditov Bitwardenu uvádza za rok 2025 posúdenia rozšírenia prehliadača, aplikácií, webového trezoru aj kryptografie. Firma však z dátumu auditu nezistí, koľko práce jej zaberie prihlásenie zamestnancov cez SSO, odomykanie ich trezorov a odoberanie prístupu.

Prehľad posúdení 1Password uvádza penetračný test a kontrolu kódu od ISE z apríla a júna 2020, osobitné posúdenie cloudovej architektúry od Onica, SOC 2 Type 2 a verejný program odmien za nájdené chyby. Výročné správy o penetračných testoch sú dostupné cez Trust Center. Porovnanie posledného verejne uvedeného testu preto nie je porovnaním všetkých kontrol, ktoré obe služby podstupujú.

Časová os ukazuje rozsah, nielen dátum

Pri Bitwardene sa dá rozlíšiť, ktorá časť produktu bola predmetom samostatnej kontroly. Audit rozšírenia a automatického vypĺňania sa vzťahuje na inú plochu útoku než posúdenie desktopovej aplikácie, webového trezoru alebo kryptografickej knižnice. Také členenie pomáha najmä vtedy, keď organizácia vie, ktoré klientské aplikácie bude skutočne používať: správa o inej súčasti jej na túto otázku odpovie len čiastočne.

Pri 1Password treba rovnako presne pomenovať predmet skúšky. ISE hodnotila systém a jeho kód v čase zadania; Onica sa venovala architektúre, konfigurácii infraštruktúry, nástrojom a postupom. Tieto práce sa dopĺňajú, ale posúdenie cloudovej architektúry nemožno vydávať za test každej verzie rozšírenia prehliadača. Umiestnenie výročných penetračných správ v Trust Center zároveň znamená, že dátum ľahko dostupnej správy ISE neoznačuje koniec ďalšieho testovania.

Pri čítaní časovej osi má preto zmysel porovnať tri veci naraz: testovanú súčasť, použitú metódu a dostupnosť zistení vrátane nápravy. Kontrola zdrojového kódu môže odhaliť chybu v logike, ktorú vonkajší penetračný test nezasiahne. Penetračný test zasa skúša zneužiteľnosť v určenom prostredí. Ani jeden výsledok sa bez znalosti rozsahu nedá preniesť na celý produkt.

Otvorený kód otvára kontrolu; kryptografický audit skúša konkrétnu hrozbu

Zdrojový kód Bitwardenu je verejne dostupný, takže implementáciu môžu skúmať aj výskumníci mimo objednaného auditu. Otvorenosť však sama nehovorí, či niekto preveril každú zmenu alebo konfiguráciu používateľa. Rozdiel oproti jednorazovému auditu spočíva v možnosti priebežnej nezávislej kontroly, nie v automatickej záruke bezpečnosti.

Opis kryptografického posúdenia ETH Zürich uvádza model plne škodlivého servera: výskumníci skúmali, čo môže útočník ovplyvniť, ak ovláda server a ten sa odchýli od očakávaného správania. Ide o prísnejšiu a presnejšie ohraničenú otázku než bežné overenie, či funguje prihlásenie. Časť zistení bola odstránená alebo sa rieši, ďalšie boli prijaté ako konštrukčné rozhodnutia. Výsledok teda patrí k tomuto modelu hrozby, nie ku každému možnému spôsobu používania trezoru.

Pri oboch produktoch treba odlišovať overenie totožnosti od získania kľúča potrebného na čítanie údajov. Silné šifrovanie chráni obsah trezoru, ale správca organizácie stále rozhoduje, komu sa účet vytvorí, ktoré zdieľané položky dostane a ako sa prístup zruší. Kryptografický model a správa členstva odpovedajú na odlišné bezpečnostné otázky; pri firemnom nasadení záleží na oboch.

SOC 2 a bug bounty dopĺňajú jednorazové testy

Správa SOC 2 Type 2 sa týka fungovania organizačných kontrol počas sledovaného obdobia. Nie je skúškou každej vydanej verzie aplikácie. Program odmien za nájdené chyby zasa vytvára kanál, ktorým môžu výskumníci hlásiť zraniteľnosti aj medzi objednanými auditmi. Priebežnosť je jeho výhodou, no samotná existencia programu neprezrádza počet otvorených chýb ani rýchlosť ich odstránenia.

Obe firmy uvádzajú SOC 2 Type 2. V programe odmien je rozdiel vo verejnej dostupnosti: do programu 1Password sa môže zapojiť širší okruh výskumníkov, kým Bitwarden opisuje svoj program ako súkromný. Pre kupujúceho to predstavuje rozdiel v prístupe k hláseniu, nie spoľahlivý rebríček bezpečnosti. Z pohľadu preveriteľnosti poskytuje Bitwarden podrobnejší verejný rozpis kontrol produktu; pri 1Password sú dôležitou súčasťou obrazu aj správy distribuované cez Trust Center.

SSO neurčuje samo, kto dostane účet a ako otvorí trezor

Pri Unlock with SSO v 1Password Business slúži jednotné prihlásenie na overenie identity cez OIDC; automatické prideľovanie používateľských účtov sa nastavuje osobitne. Členovia skupiny Owners sa cez SSO neodomykajú a existujúci členovia pri prechode potrebujú pôvodné prihlasovacie údaje. Odomykanie v aplikáciách vyžaduje pripojenie na internet, hoci biometrické odomykanie môže poskytnúť prístup aj bez neho. Tieto podmienky ovplyvňujú zavedenie služby aj postup pri výpadku či obnove účtu.

SSO v Bitwardene je určené organizáciám Enterprise a podporuje SAML aj OIDC. Overenie cez poskytovateľa identity je oddelené od dešifrovania trezoru; organizácia si volí spôsob, akým členovia získajú prístup k chráneným údajom. K dispozícii je aj vytvorenie člena pri prvom prihlásení. Firma tak musí okrem integrácie identity rozhodnúť, ako bude fungovať dešifrovanie na novom zariadení a správa členov pri ich nástupe či odchode.

Voľba závisí od toho, kto bude prístup spravovať

Jednotlivec: Ak chce skúmať zdrojový kód a čítať správy o konkrétnej aplikácii, Bitwarden mu ponúka jasnejšie verejné podklady. Ak mu vyhovuje spôsob prihlasovania a obnovy účtu v 1Password, rozdiel v dátume verejne dostupného testu sám nestačí na opačný záver.
Rodina: Podstatné je, ako členovia zdieľajú položky a ako získajú späť prístup k vlastnému účtu. Audit dodávateľa nevyrieši situáciu, keď domácnosť používa jeden spoločný účet namiesto oddelených účtov a riadeného zdieľania.
Firma so SSO: Pri Bitwardene treba zohľadniť plán Enterprise a zvolený spôsob dešifrovania. Pri 1Password treba osobitne vyriešiť prideľovanie účtov, prístup vlastníkov a podmienky odomykania. Pre správu identít je rozhodujúci celý cyklus zamestnanca: vytvorenie účtu, pridelenie zdieľaných položiek, nové zariadenie, obnova a odobratie prístupu.

Prečítajte si aj: