Bitwarden Ersteinrichtung - Was alles einstellen ?

[mae1cum77]

ob das sicherer gegen Angriffe oder Unfälle oder Probleme ist als wenn die Daten bei Bitwarden liegen oder ob es unsicherer ist.

Wäre gerade bei Passwörtern für mich ein NO-GO, die bei einem Anbieter zu haben. Meine Datenbanken liegen lokal auf jedem Gerät und werden über eine in der Cloud liegende DB synchronisiert. Die DB ist per Passwort und Schlüsseldatei gesichert.

 

[BeBur]

werden über eine in der Cloud liegende DB

Deine eigene Cloud? Sonst sind sie doch bei einem externen Anbieter.

 

[mae1cum77]

Deine eigene Cloud?

Beides. Auf dem GDrive ist nur die KDBX, die Key-Files existieren nur lokal. So funktioniert es auch ohne Kontakt zur Cloud, wenn nötig.

 

[BeBur]

Auf dem GDrive ist nur die KDBX

Dann liegen die Daten doch in der Cloud bei einem externen Anbieter. Das ist dann durchaus ähnlich wie wenn man bei Bitwarden lagert. Ich sag btw. nicht dass das schlecht ist, ich mache das aktuell 1:1 so wie du. Mich wundert nur, dass du dann Bitwarden für ein No-Go hältst.

 

[mae1cum77]

Bitwarden für ein No-Go hältst.

Nur in der reinen Online-Variante, selbstgehostet ein ganz anderes Ding. Wäre ja nicht der erste Anbieter, dem Fehler unterlaufen. Das ist lange nicht so professionell, wie das immer dargestellt wird. Von wegen, die wissen schon, was sie tun .

 

[BeBur]

Wäre ja nicht der erste Anbieter, dem Fehler unterlaufen.

Also bei Dropbox z.B. waren damals mal alle Daten von allen Nutzern öffentlich zugänglich. Irgendein Cloudanbieter hatte vor ein paar Jahren mal Petabyte an Daten verloren (inklusive Backups). Was du über Bitwarden schreibst gilt auch für GDrive. Und bei Bitwarden sind die Daten clientseitig verschlüsselt (soweit ich das stets verstanden habe; nutze es selber aktuell nicht), wie auch bei KeePass+GDrive. Das ist wie ich vermute der Punkt, der nicht ganz klar war. Bitwarden hat keinerlei Zugriff auf die Daten, sie werden durch OpenSource Software lokal verschlüsselt, so wie auch bei KeePass.

 

[mae1cum77]

^^hilft nur nicht, wenn der Anbieter aus irgendeinem Grund nicht erreichbar ist. Sollte man immer einkalkulieren.

 

[Oli_P]

Eigentlich bin ich gegen die Nutzung von Passwortdatenbanken in der Cloud. Aber ich hab mal ein bisschen mit Google Drive und einem speziellen Keepass 2-Plugin (KeeAnywhere) experimentiert. Was ich nicht will, ist abhängig von der Funktion eines Cloudanbieters zu sein. Die Datenbanken, die ich nutze, sind immer offline verfügbar und werden auch so genutzt. Die kdbx-Datei auf Google Drive ist mit Masterpasswort und Keyfile versehen und diese dient erst mal als Backup der kdbx-Datei auf meinem Rechner und auch als Möglichkeit, von ausserhalb an meine Daten zu kommen. Das könnte in besonderem Fall mal nützlich sein. Aber dann muss ich auch das Keyfile haben. Das liegt nicht auf Gdrive. Es war aber interessant, meine Datenbank auf einem anderen Rechner zu öffnen. Ist schon praktisch. Nur angewöhnen will ich mir das nicht.

 

[smashcb]

Die Datenbanken, die ich nutze, sind immer offline verfügbar und werden auch so genutzt. Die kdbx-Datei auf Google Drive ist mit Masterpasswort und Keyfile versehen und diese dient erst mal als Backup der kdbx-Datei auf meinem Rechner und auch als Möglichkeit, von ausserhalb an meine Daten zu kommen.

Nach meinem Verständnis habe ich das jetzt so änlich gemacht wie du.

Ich nutze jetzt KeepassXC
Die Datenbank liegt auf der Synology.
Es benötigt ein Passwort und das Keyfile.
Wenn ich von außen drauf will, dann wähle ich mich mit Wireguard -VPN ein.
Mein User Login ist zusätzlich durch 2FA gesichert - Authenticator.
Auf den Ordner wo die Datenbank liegt, kann nur ich zugreifen.

Das Keyfile liegt jetzt aber quasi auf 2 Rechner. Einmal dem festen Desktop und dann dem mobilen Laptop.
Die Sicherheit ist doch dadurch nur gegeben, wenn jemand zwar auf die Synology kommt, aber das File nicht hat.
Wenn man Rechner und Laptop infiltriert sind, hilft mir das doch gar nicht weiter oder hab ich einen Denkfehler ?
Das Masterpasswort ist in meinem Kopf (und auf dem Zettel im Büro, falls ich das mal vergesse)

Zum Ursprungsthema : Ich hab mir jetzt die Installation von Valtwarden auf der Synology gespart. Weil der Konfigurationsaufwand zu hoch ist und man scheinbar ohne DDNS keine lokale https Auflösung für IP- Adressen hinbekommt und dadurch die Registrierung nicht funktioniert.

 

[mae1cum77]

Die kdbx-Datei auf Google Drive ist mit Masterpasswort und Keyfile versehen und diese dient erst mal als Backup der kdbx-Datei auf meinem Rechner und auch als Möglichkeit, von ausserhalb an meine Daten zu kommen.

Nutze auch lokale KDBX mit dem PlugIn . Die lokale wird mit der online Variante gesynct, wenn die erreichbar ist. So sind alle lokalen DBs auf dem selben Stand. System ist nicht von der Online-KDBX abhängig und funktioniert ohne.

Ergänzung (6. März 2024)

Wenn man Rechner und Laptop infiltriert sind, hilft mir das doch gar nicht weiter oder hab ich einen Denkfehler ?

Dann hast du größere Probleme als nur die KDBX/Keyfile, ab dem Moment ist alles angreifbar, das LogIn in eine Webseite wird einfach mitgeschnitten. Da ist nichts mehr sicher.

 

[Nilson]

Die einzige Frage die ich noch hab, wie sichere ich denn meine Passwörter vor dem Fall, dass mir mein Masterpasswort entfaellt ?

Über das Webinterface kannst du die Passwörter als .csv oder .json exportieren. Der Export liegt dann bei mir lokal in einem Veracrypt Container.

 

[Oli_P]

Nutze auch lokale KDBX mit dem PlugIn . Die lokale wird mit der online Variante gesynct, wenn die erreichbar ist. So sind alle lokalen DBs auf dem selben Stand. System ist nicht von der Online-KDBX abhängig und funktioniert ohne.

Ergänzung (6. März 2024)

Ja, genau so. Ich hab mir nen Trigger gebastelt in Keepass, welcher beim speichern meiner lokalen Datenbank automatisch auch eine zweite oder dritte Datenbank gleich mitsynchronisiert. Diese können an x-beliebigen Orten liegen (NAS, Cloud,...). Ich mach was mit meiner lokalen Datenbank an meinem Heimrechner und später kann ich die aktuelle Datenbank von meinem Arbeitsrechner aus abrufen. Aber das Keyfile und Masterpasswort wird immer(!) benötigt. Man kann sowas natürlich auch mit der integrierten Synch-Funktion von Keepass erledigen. Aber mit dem Trigger ist das nochmal nen Ticken komfortabler

Ergänzung (9. März 2024)

Das Keyfile liegt jetzt aber quasi auf 2 Rechner. Einmal dem festen Desktop und dann dem mobilen Laptop.
Die Sicherheit ist doch dadurch nur gegeben, wenn jemand zwar auf die Synology kommt, aber das File nicht hat.
Wenn man Rechner und Laptop infiltriert sind, hilft mir das doch gar nicht weiter oder hab ich einen Denkfehler ?
Das Masterpasswort ist in meinem Kopf (und auf dem Zettel im Büro, falls ich das mal vergesse)

Meine Keyfiles hab ich auf USB-Sticks. Wenn du das so machst, dann hast du nen richtigen Schlüssel in der Hand (clé USB, wie man so schön in Französisch sagt). Das ist ja das 2FA. Du hast was im Kopf (Passwort) und du hast was in der Hand (USB-Stick). Natürlich hab ich auch noch Backups der Keyfiles an mehreren Orten. Aber die Keyfiles liegen niemals(!) zusammen mit meinen Datenbanken im selben Ordner/Gerät. Das ist wichtig. Alternvativ kannst du dir auch nen Yubikey kaufen. Ist ein spezieller USB-Stick und du brauchst dann ein Plugin in Keepass. Ich kenn mich nicht sehr gut aus mit den Yubikeys... aber es ist doch so, dass man da auf einen Knopf am USB-Stick drücken muss und dann wird das Masterpasswort automatisch ausgefüllt. Dann kannste ein Masterpasswort mit 40 wild durcheinander gewürfelten zufälligen Zeichen haben. Weil ohne solche Hilfen wie Keyfiles oder Yubikey ist das Masterpasswort der grösste Angriffspunkt.
Aber du nutzt KeepassXC wie ich verstanden hab. Ich weiss nicht, ob es da Unterschiede in der Funktionalität gibt. Hab mich für Keepass 2 entschieden, weil es einfach das Original ist. Ich glaub KeepassXC hat ne schönere GUI und ist auch sonst zugänglicher Aber die hässliche GUI von Keepass 2 ist relativ. Dank Autotype siehst du das Programm kaum und es läuft allermeist immer nur im Hintergrund. In der Praxis sieht das so aus: Rechner startet (Keepass ist im Autostart und wird minimiert gestartet; sieht man nur als Symbol in der Systray), der USB-Stick mit dem Keyfile steckt im Rechner. Wenn ich mich irgendwo nun einloggen will mit Autotype, dann ploppt nur das Fenster für die Eingabe vom Masterpasswort auf. Nach erfolgreicher Eingabe wird dann das Login automatisch eingetippt. Aber das eigentliche Programm Keepass 2 war niemals aktiv im Vordergrund. Das automatische Eintippen kann natürlich auch ein Schwachpunkt sein (Stichwort Keylogger)... da gibts aber ein paar Vorkehrungen gegen in den Einstellungen von Keepass.