Menyelenggarakan sendiri brankas kata sandi Anda menghilangkan satu pelanggaran yang bisa mengunci Anda dari segalanya

Ketika pengguna LastPass mulai terkunci dari brankas mereka sendiri pada tahun 2023, itu bukan karena peretas akhirnya berhasil membobol sesuatu. Itu karena LastPass telah mendorong sinkronisasi ulang MFA paksa untuk memperkuat enkripsi brankas setelah pelanggaran, dan sejumlah pengguna terjebak dalam loop yang tidak bisa mereka lewati. Authenticator mereka tidak akan tersinkronisasi, email reset kata sandi utama tidak pernah tiba, dan satu-satunya cara untuk menghubungi dukungan adalah dengan masuk ke akun yang tidak bisa mereka masuki. Pelanggaran terjadi pada tahun 2022. Penguncian terjadi beberapa bulan kemudian, dan itu berasal dari LastPass.

Saat itu, saya sudah menggunakan KeePass secara bolak-balik selama bertahun-tahun, jadi saya sudah menghindari mode kegagalan itu. Tidak ada perusahaan yang akan memaksa migrasi ke brankas saya pada hari Selasa karena tidak ada perusahaan yang menjalankan brankas saya. Menjalankan sendiri tidak membuat masalah tersebut hilang; itu menyerahkannya kembali kepada Anda. Menjalankan brankas kata sandi sendiri adalah cara yang praktis, aman, dan murah untuk menggunakan pengelola kata sandi, asalkan Anda bersedia menangani pemeliharaan server dan keamanan dasar sendiri.

Penguncian LastPass tidak disebabkan oleh peretas

Bagaimana perbaikan keamanan memutus akses bagi pengguna yang membayar

Intrusi LastPass yang asli pada tahun 2022 sudah cukup buruk dengan sendirinya. Para penyerang berhasil membawa pergi cadangan brankas yang terenkripsi dan daftar panjang metadata, termasuk URL dari setiap situs yang disimpan oleh setiap pengguna. Tidak ada kata sandi master yang bocor, tetapi siapa pun yang menggunakan kata sandi lemah pada dasarnya berada dalam hitungan waktu panjang dan diam sementara para penyerang bekerja secara offline.

Apa yang mengubah pelanggaran itu menjadi penguncian bagi beberapa pengguna adalah perbaikan yang dilakukan setelahnya. LastPass sebenarnya telah diam-diam menjalankan akun lama dengan jumlah iterasi PBKDF2 yang rendah, yang membuat proses peretasan offline lebih cepat dari seharusnya. Untuk memperbaikinya, perusahaan mendorong peningkatan iterasi otomatis dan otentikasi ulang yang mewajibkan pengguna untuk kembali mengatur autentikasi multi-faktor di setiap perangkat. Untuk akun di mana aplikasi autentikator telah tidak sinkron, email pemulihan sudah usang, atau perangkat telah diganti, alur MFA baru itu tidak dapat diselesaikan.

Permasalahannya adalah bahwa satu-satunya cara untuk meningkatkan akun yang macet adalah melalui dukungan, dan portal dukungan mengharapkan Anda untuk masuk. Orang-orang melaporkan terjebak dalam loop itu selama berminggu-minggu. Data brankas aman, enkripsinya sekarang lebih kuat, dan pengguna tetap tidak bisa membuka file. Banyak dari pengguna itu akhirnya pindah dari LastPass ke Bitwarden untuk alasan ini.

Sebuah brankas yang di-hosting sendiri menempatkan setiap keputusan tersebut di atas meja Anda

Anda memutuskan kapan untuk bermigrasi, mengganti kunci, atau memaksa otentikasi ulang

Sebuah brankas yang dihosting sendiri tidak membuat enkripsi lebih kuat dibandingkan yang di cloud. Yang berubah adalah siapa yang berhak menekan tombol-tombolnya. Resinkronisasi MFA, peningkatan iterasi, login paksa ulang, antrean dukungan, semua itu menjadi keputusan Anda. Jika Anda memutuskan akun-akun Anda perlu mengatur ulang 2FA pada hari Selasa, Anda bisa merencanakannya pada pagi Minggu saat Anda berada di depan keyboard.

Itu juga berarti brankas Anda tidak berada di infrastruktur yang tidak dapat Anda lihat. Database terenkripsi Anda hidup di VPS Linux, server rumah, atau perangkat mana pun yang Anda percayai, dan Anda dapat menambahkan kontrol Anda sendiri di atasnya: aturan firewall, SSH terbatas, daftar izin IP, dan akses melalui VPN jika Anda tidak ingin mengekspos layanan sama sekali.

Cerita biaya juga terbalik dengan cara yang sama. VPS 1 vCPU dengan RAM 1GB sudah cukup untuk menjalankan Vaultwarden, dan kotak yang sama dapat menampung layanan lain. Tidak ada biaya per pengguna tambahan, yang membuat pengelolaan sendiri mudah diperhitungkan untuk keluarga atau tim kecil. Bagi siapa pun yang sudah menjalankan layanan yang di-host sendiri seperti server cloud pribadi, ini hanyalah satu kontainer lain dalam tumpukan.

Titik balik yang jujur adalah bahwa Anda juga mewarisi sisi operasional. Pembaruan, cadangan, pembaruan sertifikat, pemantauan, dan sesekali reboot pukul 2 pagi sekarang menjadi masalah Anda. Gambar Vaultwarden yang kadaluwarsa, sertifikat TLS yang telah habis masa berlakunya, atau aturan firewall yang salah konfigurasinya dapat mengunci Anda seefektif sinkronisasi ulang MFA LastPass. Bedanya adalah orang yang merusaknya adalah orang yang sama yang bisa memperbaikinya.

Vaultwarden memberi Anda pengalaman Bitwarden

Server Rust ringan yang menggunakan protokol Bitwarden

Alasan saya merekomendasikan Vaultwarden dibandingkan opsi swakelola lainnya adalah karena Anda sebenarnya tidak merasa sedang menggunakan produk yang berbeda. Vaultwarden adalah implementasi ulang Bitwarden server API menggunakan Rust. Dari sisi klien, ia berfungsi persis seperti server Bitwarden, sehingga web vault resmi Bitwarden, ekstensi browser, aplikasi desktop, aplikasi mobile, dan CLI bw semuanya terhubung ke sana tanpa plugin kustom atau fork.

Pengaturannya juga tidak biasa ringan. Contoh resmi Docker Compose adalah satu layanan ditambah sebuah volume dan token admin, dan server itu sendiri biasanya menggunakan kurang dari 100MB RAM. Anda bisa menjalankannya di VPS kecil, laptop lama, atau Raspberry Pi tanpa membebani apa pun.

Pilihan swasta lainnya juga ada. KeePass dan forknya bekerja sepenuhnya offline dan cocok dipadukan dengan file KDBX yang disinkronkan melalui cloud, dan Passbolt adalah pilihan yang solid untuk tim yang membutuhkan berbagi secara rinci. Server swasta resmi Bitwarden adalah yang paling lengkap, tetapi juga berat, karena menyatukan MSSQL dan beberapa layanan dalam satu tumpukan yang dirancang untuk penerapan perusahaan.

Vaultwarden berada di posisi yang pas untuk kebanyakan pengguna rumahan dan tim kecil. Anda mendapatkan kelengkapan dari klien resmi Bitwarden di setiap perangkat, sinkronisasi lintas platform nyata melalui endpoint HTTPS Anda sendiri, dan kesetaraan fitur penuh untuk hal-hal yang digunakan orang setiap hari, termasuk login, folder, lampiran, kode TOTP, organisasi, dan pembuatan kata sandi. Trade-off-nya adalah bahwa ini bukan produk resmi Bitwarden, jadi Anda mempercayai proyek open-source terpisah (yang terawat dengan baik) untuk server.

Self-hosting bekerja jika Anda bersedia untuk merawatnya

Menyelenggarakan sendiri brankas kata sandi adalah cara yang praktis dan biaya rendah untuk menghindari kesalahan dari sisi penyedia yang membuat pengguna LastPass terkunci dari data mereka sendiri. Vaultwarden membuatnya cukup mudah diakses sehingga Anda tidak perlu menjadi seorang sysadmin untuk menjalankannya, dan klien resmi Bitwarden menjaga penggunaan sehari-hari tetap familiar.

Namun, kemudahan akses itu tidak menghapus tanggung jawab. Anda akan perlu menjaga sistem operasi tetap diperbarui, gambar Vaultwarden tetap terbarui, dan memastikan cadangan diverifikasi, serta mengamankan kotak dengan kunci SSH, firewall, dan 2FA pada lemari itu sendiri. Jika Anda bersedia melakukan pemeliharaan itu, hosting sendiri benar-benar merupakan opsi yang lebih baik. Jika tidak, layanan yang dikelola dengan rekam jejak yang kuat adalah pilihan yang lebih aman, meskipun ada kompromi.