Proton Pass ali Bitwarden: odprta koda ne izenači varnostnega modela

Proton Pass je smiselna izbira, če želite šifrirane podatke o prijavah in strežniško upravljanje prepustiti ponudniku. Bitwarden je primernejši, če potrebujete možnost lastnega gostovanja in ste pripravljeni upravljati strežnik. Oba omogočata pregled izvorne kode, vendar ta sama ne določa, kdo skrbi za infrastrukturo, kaj lahko storitev vidi zunaj trezorja in kako boste po izgubi dostopa obnovili podatke.

Če boste uporabljali ponudnikovo infrastrukturo, je odločilno, katere podatke storitev potrebuje za delovanje in katera obnovitvena pot vam ustreza. Če želite strežnik pod svojim nadzorom, Bitwarden ponuja drugačno razmerje med nadzorom in odgovornostjo. Objavljeni varnostni presoji pomagata pri izbiri, če njun obseg razumete kot preverjanje določenih delov sistema, ne kot skupno oceno vseh možnih načinov uporabe.

Kaj sta varnostni presoji dejansko zajeli

Protonova objava o presoji Proton Pass navaja, da je Cure53 pregledal mobilne aplikacije, razširitve brskalnika in API. Med ugotovitvami opisuje primer, v katerem bi napadalec z nadzorom poddomene lahko zavedel nepazljivega uporabnika pri vnosu prijavnih podatkov. Proton navaja tudi srednje resno ugotovitev, ki je ob objavi ostala nerešena zaradi omejitve Androida; stanje te posamezne ugotovitve zato ni pošteno povzeti zgolj z besedo »opravljeno«.

Bitwardenovo poročilo o omrežni presoji opisuje devet dni testiranja naslovov IP, strežnikov in spletnih aplikacij maja 2023. Povzetek za ta obseg navaja, da niso našli izkoristljive ranljivosti, vendar opisuje eno srednje resno ugotovitev pri strežniškem pridobivanju ikon spletnih mest. Storitev je bilo mogoče usmeriti k neželenim zahtevam s tehniko ponovne vezave DNS; poročilo navaja, da je Bitwarden po presoji popravil način razreševanja in preverjanja naslova.

Razlika v številu ugotovitev ni lestvica varnosti obeh izdelkov. Protonova presoja je med drugim zajela odjemalce in razširitve, Bitwardenovo navedeno poročilo pa omrežje in strežniško okolje. Če vas posebej skrbijo samodejno izpolnjevanje v telefonu, razširitve brskalnika ali strežniška storitev, je obseg posameznega pregleda uporabnejši od primerjave njegovih zaključnih stavkov. Nobeno od teh poročil samo zase ne opisuje vseh poznejših različic programske opreme.

Kaj je šifrirano in kaj mora ostati vidno

Protonova politika zasebnosti za Pass navaja, da sta vsebina trezorja in njegovi metapodatki šifrirani od konca do konca. Določa tudi izjemo: naslovi e-poštnih vzdevkov, ki omogočajo posredovanje sporočil, niso šifrirani, ker jih storitev potrebuje za to funkcijo. To je pomembno za uporabnika, ki z vzdevki ločuje prijave v različne spletne storitve: šifriran trezor še ne pomeni, da je vsak podatek, potreben za posredovanje pošte, skrit pred izvajalcem storitve.

Bitwardenovi odgovori o varnosti pojasnjujejo, da se občutljivi podatki trezorja šifrirajo na uporabnikovi napravi pred pošiljanjem na strežnik. Za upravljanje računa storitev uporablja e-poštni naslov, pri lastnem gostovanju pa lahko uporabnik upravlja celoten strežniški del. Primerjava zato ne sme ustvariti vtisa, da je Bitwardenov trezor ponudniku berljiv: ločiti je treba šifrirano vsebino vnosov, podatke o računu in podatke, potrebne za posamezno funkcijo.

Pri obeh storitvah je pomembna tudi naprava, na kateri trezor odklenete. Šifriranje podatkov na strežniku zmanjša tveganje ob dostopu do tam shranjene kopije, ne odpravi pa posledic zlonamerne programske opreme ali nepooblaščenega dostopa do že odklenjene naprave. Za uporabnika, ki ga skrbi predvsem kompromitiran telefon ali računalnik, razlika med gostovanjem pri ponudniku in na lastnem strežniku zato ni osrednji zaščitni ukrep.

Lastno gostovanje prenese delo na uporabnika

Bitwardenova možnost lastnega gostovanja je konkretna prednost za organizacijo, ki mora določiti, kje teče strežniška storitev, kako je dosegljiva in kdo jo upravlja. Smiselna je tudi za posameznika z znanjem in časom za vzdrževanje. Nadzor nad strežnikom lahko omeji odvisnost od ponudnikovega gostovanja, vendar sam po sebi ne izboljša šifriranja trezorja ali varnosti naprav, ki ga odklepajo.

Kdor strežnik gosti sam, prevzame posodobitve, varnostne kopije, spremljanje delovanja in obnovo po okvari. Če strežnik ni dosegljiv, je lahko sinhronizacija med napravami motena, četudi so shranjeni podatki šifrirani. Pri Proton Pass te strežniške naloge ostanejo pri Protonu. Za uporabnika brez skrbnika je lahko zanesljivo upravljana storitev primernejša od lastne namestitve, za ekipo z obstoječimi postopki pa je nadzor nad strežnikom lahko odločilen razlog za Bitwarden.

Obnova računa mora odkleniti tudi stare podatke

Protonova razlaga obnove računa loči ponastavitev gesla od obnove šifriranih podatkov. Obnovitvena fraza omogoča oboje; ponastavitev prek rezervnega e-poštnega naslova ali telefona sama po sebi ne odklene podatkov, shranjenih pred ponastavitvijo. Za človeka, ki ima v Pass shranjene vse prijave, je razlika bistvena: ponovno pridobljen račun še ni enak ponovno dostopnemu trezorju.

Tudi pri Bitwardnu zaščita trezorja pomeni, da pozabljenega glavnega gesla ni mogoče preprosto zahtevati od podpore. Posameznik lahko vnaprej uredi nujni dostop za zaupanja vredno osebo, če uporablja ustrezno naročnino; poslovna organizacija ima lahko ločen postopek obnove članskih računov. Takšni možnosti spreminjata model zaupanja, saj pri obnovi sodeluje druga oseba ali skrbnik. Če načrt temelji samo na glavnem geslu, je izguba dostopa lahko izguba trezorja.

Razlika med izdelkoma je zato tudi vprašanje, komu ste pripravljeni zaupati obnovitveno pot. Protonova obnovitvena fraza zahteva varno hrambo zunaj računa; Bitwardenov nujni dostop zahteva premišljeno izbiro osebe in ustrezno predhodno nastavitev. Nobena možnost ni uporabna, če se z njo prvič ukvarjate šele po izgubi dostopa.

Izvoz je uporaben le, če podatke lahko znova uporabite

Pri zamenjavi upravljalnika gesel je pomembnejši rezultat izvoza kot sam gumb zanj. Datoteka mora vsebovati vnose, ki jih potrebujete, ciljna storitev pa mora podpirati njihov uvoz. Prijave, priponke, deljeni vnosi in e-poštni vzdevki nimajo nujno enakega načina prenosa, zato uspešen prenos običajnih gesel še ne pomeni popolne selitve trezorja.

Posebej previdno je treba ravnati z nešifrirano izvozno datoteko: med selitvijo lahko vsebuje berljiva gesla zunaj zaščite trezorja. Šifriran izvoz je primernejši za dolgoročno kopijo, vendar mora uporabnik ohraniti tudi podatek, s katerim ga bo mogoče pozneje odpreti. Če je namen izvoza prehod na drug račun ali drug strežnik, je odločilno, ali datoteka ostane uporabna neodvisno od prvotnega računa.

Katera izbira ustreza kateremu uporabniku

Proton Pass ustreza posamezniku, ki želi gostovanje prepustiti ponudniku, uporablja e-poštne vzdevke in sprejema njihovo opisano izjemo pri šifriranju. Pri tem naj posebno pozornost nameni obnovi že shranjenih podatkov. Bitwarden ustreza uporabniku ali organizaciji, za katero je lastno gostovanje dejanska zahteva in ima sredstva za vzdrževanje strežnika; pri gostovanju pri ponudniku te prednosti ne izkoristi.

Če strežnika ne nameravate upravljati sami, primerjavo usmerite v funkcije, ki jih uporabljate, podatke, ki jih te funkcije razkrijejo, in obnovitveno pot, ki jo lahko vzdržujete. Če je lastno gostovanje obvezno, Bitwarden ponuja jasno izbiro, a z njo prevzamete tudi operativno tveganje. Odprta izvorna koda omogoča pregled programske opreme; dejansko razmerje med varnostjo, zasebnostjo in nadzorom določa način njene uporabe.