Jak przechowuję hasła w bezpieczny sposób (i nie jest to Lastpass)

 W dzisiejszych czasach każdy użytkownik internetu posiada dziesiątki kont, których loginy i hasła musi gdzieś bezpiecznie przechowywać. O tym jak stworzyłem swoje rozwiązanie w chmurze prywatnej w artykule, a także dlaczego rozczarowałem się menedżerami haseł online.

Kilka lat temu będąc na wakacjach zaskoczył mnie niespodziewany wydatek. Jako że nie posiadam karty płatniczej od kilku lat, wszystko staram się przedpłacać. Pech chciał, że jedyną formą płatności był przelew bankowy, a ja nie mogłem zalogować się do swojego banku bo nie znałem hasła. Tj. wiedziałem że numer klienta i hasło do bankowości elektronicznej trzymam w Lastpass (darmowy plan), ale za Chiny nie mogłem się do niego zalogować z obcego komputera. Nieznana lokalizacja, udowodnij że to ty, podaj pod z sms-a (podałem), dalej nie możemy potwierdzić że to ty itp. To przelało czarę goryczy, bo właściciel nie mógł dostać się do swojego konta bankowego. A wyciek haseł kilka lat temu z Lastpassa utwierdził mnie w przekonaniu, że to była dobra decyzja.

Co więc wybrałem zamiast Lastpassa?
Musiałem  sobie wpierw odpowiedzieć na pytanie, czego oczekuję od menedżera haseł. Oto jakie warunki sobie postawiłem:

• dostępny z każdego miejsca na świecie, gdzie jest internet
• silne zabezpieczenia, nikt nie może poznać moich sekretów 
• rozwiązanie darmowe
  
• prosty stos technologiczny, hostowany przeze mnie lub na komponentach łatwych do zastąpienia
• multiplatformowy, dostęp do swoich haseł ze wszystkich swoich urządzeń
• łatwe wyszukiwanie i grupowanie haseł
• łatwe uzupełnianie i generowanie haseł, szczególnie na urz. mobilnych
• łatwe zrobienie kopii zapasowej swoich haseł.
  

Jako że w pracy używałem Keepassa, znałem ten program doskonale. Keepass zapisuje wszystkie hasła w zaszyfrowanym pliku, do którego hasło znasz tylko ty. Tyle że nie chciałem, aby plik z hasłami był hostowany lokalnie na moim komputerze. A keepass posiada świetną opcję a mianowicie otwórz bazę haseł z pliku url.

Zarejestrowałem więc konto ftp na hostingu DriveHq.com. Jest to hosting o dużych możliwościach, z własnymi aplikacjami do chmury, plików, kamer przemysłowych, webDav itp. Oczywiście kontem można zarządzać także przez przeglądarkę. Darmowa wersja o pojemności 5 GB spokojnie wystarczy na potrzeby przechowywania bazy haseł.

A więc pierwszy stworzyłem bazę haseł lokalnie i wypchnąłem ją na serwer ftp na DriveHq właśnie. Jak to robię? W każdy windows czy linux jest wbudowany klient ftp z linii poleceń. Wpisuję w konsolę: 1) ftp 2) o ftp.drivehq.com (tu podaję adres serwera) 3) uwierzytelnienie, pyta mnie o login i hasło, można włączyć 2fa lub użyć kluczy rsa. Od tej pory na wszystkich urządzeniach z zainstalowanym Keepassem (Keepass2Android na telefonie) mogę pobierać bazę haseł wpisując url bazy haseł na serwerze i uwierzytelniając się. Apka Keepassa jest klientem ftp jak pobieramy nią zdalne bazy haseł.

Jak dodaję i uaktualniam hasła w repozytorium?
Na początku działał patent, że jak dodałem nowe hasło na Keepass i nacisnąłem dyskietkę Zapisz w aplikacji Keepass, to uaktualniony plik z hasłami samoczynnie uploadował się na serwer ftp. Około rok temu przestało to działać i jak dodam bądź zmodyfikuję hasło w aplikacji Keepass, to muszę osobno zrobić jej upload klientem ftp, np. Filezilla czy przez linię poleceń. Jednak bądźmy szczerzy, dużo częściej hasła się odczytuje niż dodaje nowe.

Jak backupuję bank haseł?
Co kilka miesięcy przerzucam plik .kdbx na zaszyfrowany pendrive, który używam głównie do ważnych rzeczy typu banki, skany dokumentów. Na każdym lokalnym urządzeniu w cache jest lokalna kopia banku haseł. W przypadku awarii serwera ftp może zachodzić problem w ustaleniu na którym urządzeniu jest najbardziej aktualny plik z hasłami, ale keepass i w tym daje radę.Wystarczy wejść w menu Edit->Show entries->Last modified entries. A z kolei na pasku statusu głównej gałęzi haseł widać liczbę wszystkich wpisów. Na tej podstawie oceniam który plik jest najaktualniejszy, aby nie stracić ostatnio zapisanych haseł.

Ocena rozwiązania po kilku latach stosowania
Zdecydowanie opłaciło się przejść na swój własny hosting. Nie muszę się już szarpać z Lastpassem, który utrudniać powinien życie włamywaczom chcącym poznać moje hasła, ale nie właścicielowi tych haseł! Rozwiązanie jest darmowe. Na każdym urządzeniu mam lokalną bazę haseł (więc nawet gdyby hosting padł lub zażądał opłaty to mogę się w mgnieniu oka przenieść na inny hosting). Po kilku latach używania repozytorium haseł na własnym serwerze, mam niecałe 300 haseł, co miesiąc dochodzą lub zmieniają się 2-3 hasła, a plik z bazą haseł waży ... 100 kB. Ten sposób dostępu do haseł jeszcze nigdy mnie nie zawiódł, nawet w podróży gdy miałem tylko telefon.