KeePassXC či Bitwarden: offline trezor presúva zálohu na používateľa

KeePassXC je vhodnejší, ak chcete mať šifrovaný trezor vo vlastnom súbore a sami rozhodovať, kde budú jeho kópie. Dokumentácia KeePassXC opisuje lokálnu databázu aj možnosť prenášať ju cez priečinok zvolenej synchronizačnej služby. Bez vlastnej použiteľnej kópie však po strate jediného zariadenia nemáte z čoho heslá obnoviť. Kontrola nad uložením súboru preto zahŕňa aj zodpovednosť za zálohu, jej dostupnosť a riešenie rozdielnych verzií.

Bitwarden dáva väčší zmysel pri pravidelnom používaní viacerých zariadení alebo pri zdieľaní prístupov. Prehľad plánov Bitwardenu uvádza synchronizáciu, šifrovaný export a zdieľanie cez organizácie; vlastné hostovanie závisí od zvoleného usporiadania účtu a organizácie. Prihlásenie na novom zariadení sprístupní synchronizovaný trezor, pokiaľ máte prístup k účtu a splníte jeho prihlasovacie požiadavky. Serverová kópia uľahčuje návrat po strate telefónu či počítača, ale sama nevyrieši stratu hlavného hesla ani prístupu k účtu.

Strata zariadenia: čo musí zostať dostupné

Pri KeePassXC potrebujete po strate zariadenia databázu .kdbx a údaje potrebné na jej otvorenie. Hlavné heslo bez súboru databázy nestačí. Ak používate aj súbor kľúča, jeho strata môže zneprístupniť aj neporušenú databázu; kópiu kľúča preto treba uchovať bezpečne a oddelene od databázy. Záloha len na ďalšom disku v tom istom notebooku nerieši krádež alebo úplné zlyhanie notebooku.

Pri Bitwardene sa po strate zariadenia môžete prihlásiť na inom a stiahnuť synchronizovaný stav. Tento postup však predpokladá funkčný účet, dostupnú službu a prípadný druhý spôsob overenia. Pre človeka, ktorý často mení zariadenia, je to podstatné zjednodušenie. Pre človeka, ktorý chce vedieť obnoviť heslá aj bez prístupu k pôvodnému účtu, je stále potrebná samostatná kópia trezoru.

Krádež súboru a prevzatie účtu sú odlišné riziká

Ukradnutá databáza KeePassXC ešte neodhaľuje uložené heslá, útočník však môže skúšať uhádnuť jej hlavné heslo bez ďalšieho kontaktu s používateľom. Zmysel má preto silné hlavné heslo aj ochrana zariadenia, na ktorom databázu otvárate. Prehľad auditov KeePassXC uvádza nezávislé bezpečnostné posúdenia a upozorňuje, že ich závery sa viažu na konkrétne verzie a zostavenia. Audit nie je zárukou bezpečnosti každej budúcej verzie ani náhradou za dobrú správu vlastnej kópie.

Bitwarden pridáva prihlasovací účet, ktorý sa môže stať cieľom phishingu alebo pokusu o zneužitie prihlasovacích údajov. Druhý spôsob overenia a silné hlavné heslo chránia inú časť problému než záloha: bránia neoprávnenému prístupu, ale nevrátia zabudnuté prístupové údaje. Oba modely navyše závisia od bezpečnosti zariadenia pri práci s odomknutým trezorom. Samotné miesto uloženia šifrovaných dát preto neurčuje, ktorý správca bude pre konkrétneho človeka bezpečnejší.

Synchronizácia presúva prácu medzi používateľa a službu

KeePassXC môžete používať bez synchronizácie. Ak tú istú databázu otvoríte na viacerých zariadeniach, spôsob prenosu súboru si vyberáte sami. Pri súbežných úpravách sa môžu objaviť rozdielne kópie; pred riešením konfliktu je rozumné ponechať obe, aby staršia verzia neprepísala novšie záznamy. Priečinok, ktorý prenesie vymazanie alebo poškodenie súboru na všetky zariadenia, zároveň nemusí poskytnúť nezávislú zálohu.

Bitwarden túto každodennú koordináciu z veľkej časti zabezpečuje cez server. Zmena urobená na jednom zariadení sa na druhom prejaví až po úspešnej synchronizácii, preto sa pri výpadku netreba spoliehať na to, že každá zobrazená kópia je najnovšia. Vlastné hostovanie ponecháva rovnakú závislosť klientov od servera, iba správu servera presúva na prevádzkovateľa. Pre malý tím to znamená aj zodpovednosť za prevádzku a zálohu vlastnej služby.

Rodinný prístup a odchod správcu tímu

V rodine nestačí vedieť, kde sú heslá uložené. Treba určiť, kto má prístup k spoločným položkám a čo sa stane, ak človek spravujúci trezor nebude dostupný. Pri KeePassXC môže skupina zdieľať dohodnutú databázu, musí však sama vyriešiť jej aktuálnosť, odovzdanie potrebných údajov na otvorenie a ochranu starších kópií. Odovzdanie súboru bez týchto pravidiel môže zanechať každému členovi inú verziu hesiel.

Bitwarden oddeľuje zdieľanie položiek cez organizáciu od núdzového prístupu k osobnému trezoru. Podľa pravidiel núdzového prístupu musí oprávnený majiteľ vopred určiť dôveryhodný kontakt, ktorý po schválení alebo uplynutí nastavenej čakacej doby môže trezor zobraziť či prevziať. Kontakt možno nastaviť v účte s príslušnou platenou funkciou; samotný príjemca môže mať aj bezplatný účet na tom istom serveri. Pre malý tím je osobitnou otázkou nástupníctvo správcu organizácie, pretože núdzový prístup k osobnému trezoru automaticky nerieši správu spoločných položiek.

Záloha musí prežiť pôvodný súbor aj účet

Pri KeePassXC má záložný plán obsahovať aktuálnu kópiu databázy mimo pôvodného zariadenia a staršiu verziu pre prípad omylom prepísaného alebo poškodeného súboru. Ak trezor vyžaduje súbor kľúča, potrebujete aj jeho bezpečne uloženú kópiu. Občasné otvorenie zálohy ukáže, či máte všetko potrebné na obnovu. Takýto pokus je užitočnejší než spoliehanie sa na názov súboru alebo na to, že synchronizovaný priečinok stále ukazuje jeho ikonu.

Pri Bitwardene záleží na type exportu. Návod na export trezoru rozlišuje šifrovaný súbor viazaný na pôvodný účet od exportu chráneného samostatným heslom, ktorý možno importovať do iného účtu. Pre zálohu určenú aj na obnovu po strate pôvodného účtu je vhodnejší druhý typ; jeho heslo musí zostať dostupné mimo trezoru, ktorý má obnoviť. Export osobného trezoru navyše automaticky neobsahuje údaje vlastnené organizáciou, takže tím musí riešiť ich zálohu osobitne.

Kedy ktorý model dáva zmysel

KeePassXC je presvedčivá voľba pre človeka, ktorý chce spravovať umiestnenie súboru, dokáže uchovávať oddelené verzie a vie ich obnoviť. Bitwarden lepšie slúži tam, kde každodennú hodnotu prinášajú viaceré zariadenia, riadené zdieľanie a vopred pripravený prístup ďalšej osoby. Pri rozhodovaní je užitočné položiť si konkrétnu otázku: po strate zariadenia alebo účtu, ku ktorej kópii sa ešte dostanete a čím ju otvoríte? Odpoveď určuje skutočnú cenu pohodlia aj kontroly.

Prečítajte si aj:

• Bitwarden či Proton Pass: nižšia cena verzus lepšie e-mailové aliasy
• ClickUp či Trello: viac funkcií nepomôže tímu, ktorý ich nebude používať
• Google Workspace či Microsoft 365: cenu licencie skreslí práca offline