Bitwarden jest świetny, ale przeszedłem na tego lepszego menedżera haseł i teraz kontroluję wszystko

Większość ludzi wybiera menedżera haseł w chmurze i trzyma się go, ponieważ działa wystarczająco dobrze, i nigdy więcej o tym nie myślą. To rozsądny wybór, ale oznacza to, że twoje zaszyfrowane dane logowania znajdują się na serwerach kogoś innego, podlegając ich decyzjom cenowym, praktykom bezpieczeństwa i temu, co stanie się z ich firmą w przyszłości. Samodzielne hostowanie menedżera haseł oddaje wszelką kontrolę z powrotem w twoje ręce, a Vaultwarden sprawia, że jest to na tyle praktyczne, że można go uruchomić na skromnym sprzęcie bez skomplikowanej konfiguracji.

Samodzielne hostingowanie jest zazwyczaj lepsze niż chmura

Zarządzanie własnym sprzętem pozwala trzymać go w domu

Sposób, w jaki ludzie zarządzają danymi uwierzytelniającymi, zmienił się znacznie na przestrzeni lat, a większość osób korzysta z centralnej usługi w chmurze, takiej jak Bitwarden, nie zastanawiając się nad tym zbyt dużo. Dla większości użytkowników działa to dobrze. Jednak nie musisz już polegać na usłudze subskrypcyjnej. Dlatego wielu ludzi decyduje się na samodzielne hostowanie własnego rozwiązania. Wolę trzymać własne dane, niż przekazywać je zewnętrznej firmie.

Ufam własnemu sprzętowi bardziej niż sprzętowi kogoś innego, więc nie czuję się komfortowo, używając standardowego modelu chmurowego. W przeciwnym razie po prostu zakładasz, że infrastruktura dostawcy jest bezpieczna i stabilna finansowo. Kiedy hostujesz samodzielnie, musisz ufać tylko kodowi open-source i własnym umiejętnościom administracyjnym. Uważam, że ten kompromis jest tego wart, ale nie jest dla każdego.

Wymagania sprzętowe mają tendencję do kształtowania wyboru oprogramowania. Oficjalny serwer Bitwarden do samodzielnego hostowania wymaga ponad tuzina kontenerów i ciężkiego zaplecza Microsoft SQL Server, co wyklucza go dla wielu osób korzystających ze skromnego sprzętu. Tutaj wchodzi w grę Vaultwarden.

To nieoficjalna wersja API Bitwarden, która mieści cały stack w jednym kontenerze. W ten sposób ludzie uruchamiają własne serwery, ale ja bardziej polecałbym tę ścieżkę. Możesz uruchomić ją na Raspberry Pi lub tanim wirtualnym serwerze prywatnym bez większego wysiłku.

Ten mały ślad oznacza również mniejszą potrzebę konserwacji i mniejszą powierzchnię ataku. Ta konfiguracja udowadnia cały sens samodzielnego hostowania. Zyskujesz prawdziwą kontrolę nad swoją infrastrukturą, nie potrzebując do tego drogiego sprzętu.

Jest też kwestia tego, kto jest właścicielem Twoich danych, co ma znaczenie dla wielu osób. W standardowym modelu chmury Bitwarden Twoje zaszyfrowane dane nadal znajdują się na serwerach zarządzanych przez dostawcę gdzieś w Stanach Zjednoczonych. Gdy hostujesz samodzielnie, żadne z tych danych nie opuszcza Twojej lokalnej sieci, chyba że wyraźnie tego chcesz. Dla kogoś, kto dokładnie zastanawia się, gdzie fizycznie znajdują się jego dane, to istotna różnica.

Oto jak poprawić bezpieczeństwo

Twoja własna sejf na hasła

Przejście z menedżera haseł w chmurze na własny serwer ma swoje wady, ale Vaultwarden sprawia, że jest to znacznie łatwiejsze, niż się spodziewasz. Jedną z najlepszych rzeczy jest to, że nie musisz rezygnować z aplikacji, których już używasz. Aby to zrobić, musisz upewnić się, że Twój sprzęt jest gotowy do wirtualizacji. Uruchom ponownie komputer i wejdź do BIOS-u, zwykle naciskając F2 lub Delete, i włącz Intel Virtualization Technology lub VT-x. Gdy wrócisz do Windows, otwórz Menedżera zadań, przejdź do zakładki Wydajność i sprawdź, czy Wirtualizacja jest włączona.

Następnie otwórz PowerShell jako administrator i wpisz wsl --install, aby dodać Podsystem Windows dla Linuxa. Po zakończeniu uruchom ponownie komputer, a następnie pobierz Docker Desktop. Jeśli nie jesteś pewien, jaką wersję Windows masz, prawdopodobnie masz wersję AMD64. Tak czy inaczej, twój komputer poinformuje cię, jeśli pobrałeś niewłaściwą wersję, gdy spróbujesz ją uruchomić.

Podczas instalacji upewnij się, że opcja korzystania z WSL 2 jest zaznaczona, aby wszystko działało prawidłowo. Gdy Docker zostanie zainstalowany, a ikona wieloryba w zasobniku systemowym pokaże, że jest aktywny, możesz przystąpić do konfiguracji serwera.

Utwórz folder w C:\Vaultwarden, a w nim utwórz plik o nazwie docker-compose.yml. Wpisz w nim ten kod:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data

  caddy:
    image: caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - 80:80
      - 443:443
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - ./caddy_data:/data
      - ./caddy_config:/config

Słyszałem o wielu osobach, które miały problemy z Dockerem tutaj, więc ważne jest również utworzenie pliku Caddy. Caddy zajmuje się stroną bezpieczeństwa, ponieważ zarówno Chrome, jak i Firefox wymagają bezpiecznego połączenia HTTPS, aby szyfrowanie w sejfie działało prawidłowo.

Niestety, będziesz musiał użyć HTTP do tego, i nie zadziała to bez tego obejścia. Jeśli możesz to zrobić bez Caddy, możesz śmiało z niego nie korzystać.

W folderze Vaultwarden utwórz drugi plik o nazwie Caddyfile w katalogu .all i usuń wszelkie rozszerzenie pliku, jeśli jest zapisane. W jego wnętrzu dodaj ten blok

localhost {
    reverse_proxy vaultwarden:80
}

W pasku poleceń wpisz cd C:\Vaultwarden. Następnie docker compose up -d. Gdy to będzie działać, przejdź do https://localhost w przeglądarce. Zobaczysz ostrzeżenie bezpieczeństwa, ponieważ certyfikat jest lokalny; kliknij Zaawansowane i kontynuuj mimo ostrzeżenia, aby przejść do strony konfiguracji i utworzyć swoje konto.

Gdy go utworzysz, możesz zacząć go używać, a jest nawet rozszerzenie, które możesz pobrać, które ono oferuje.

Jesteś nowym zespołem IT

Dostosuj swój sposób myślenia

W środowisku self-hosted jesteś w pełni odpowiedzialny za utrzymanie dostępności swoich danych. Ponieważ nie ma zespołu wsparcia ani korporacyjnej strategii odzyskiwania do wykorzystania, utrata głównej bazy danych bez kopii zapasowej oznacza trwałą utratę wszystkiego. Dużo o tym myślę, dlatego traktuję kopie zapasowe jako najważniejszą część całego systemu.

Najbardziej niezawodny sposób radzenia sobie z tym jest taki sam, jak robią to profesjonalne zespoły IT: ze strategią 3-2-1. Trzymasz trzy całkowite kopie swoich danych na dwóch różnych nośnikach, z jedną kopią przechowywaną poza siedzibą. Brzmi to jak dużo, ale gdy już jest to zautomatyzowane, nie myślisz o tym ponownie.

Nie można po prostu skopiować pliku bazy danych, gdy serwer działa. Zamiast tego uruchamia się polecenie kopii zapasowej SQLite bezpośrednio w kontenerze Docker, aby uzyskać czysty, spójny zrzut bez żadnych przestojów.

Pełna kopia zapasowa musi obejmować plik bazy danych, klucze kryptograficzne, pliki konfiguracyjne oraz katalog zabezpieczonych załączników. Brak któregokolwiek z tych elementów oznacza, że kopia zapasowa nie jest faktycznie użyteczna.

Samodzielne hostowanie może być dla Ciebie odpowiednim wyborem

Samodzielne hostowanie menedżera haseł nie jest odpowiednie dla każdego. Bierzesz na siebie odpowiedzialność za kopie zapasowe, aktualizacje i upewnianie się, że twój serwer jest dostępny. Jeśli nie czujesz się z tym komfortowo, zarządzana usługa w chmurze nadal jest rozsądną opcją. Jednak jeśli wolisz posiadać własną infrastrukturę i nie polegać na cenach ani bezpieczeństwie dostawcy, Vaultwarden jest jednym z łatwiejszych sposobów na to. Wymagania sprzętowe są niskie, konfiguracja jest prosta, a gdy tylko będzie działać, otrzymujesz w pełni funkcjonalny menedżer haseł, który nie kosztuje nic miesięcznie.