Saya tidak merekomendasikan Bitwarden

 (マリウス.com)
1 poin oleh GN⁺ 1 jam lalu | 1 komentar | Bagikan ke WhatsApp
  • Berdasarkan hasil penggunaan self-hosting selama bertahun-tahun, Bitwarden kini menjadi pilihan yang sulit direkomendasikan lagi karena beratnya server resmi, arah open source yang makin tidak transparan, kualitas klien yang rendah, dan masalah keamanan yang berulang
  • Server resmi Bitwarden merupakan konfigurasi berat yang berpusat pada backend C# dan MSSQL Express, sementara server kompatibel tidak resmi berbasis Rust Vaultwarden lebih sederhana dan ringan sehingga lebih disukai untuk deployment skala kecil hingga menengah
  • Lisensi terbatas untuk @bitwarden/sdk-internal yang masuk ke klien pada 2024 kemudian dilisensikan ulang menjadi GPLv3 setelah mendapat penolakan, tetapi hal ini justru memperbesar kekhawatiran bahwa arah produk bergerak ke SaaS berbasis langganan alih-alih bagian gratis dan open source
  • Pada klien Bitwarden, berbagai masalah terus menumpuk seperti kegagalan impor vault, tidak adanya pemindahan item antara vault organization dan vault individual, solusi ekspor plain-text JSON yang terasa sebagai jalan memutar, vault tidak bisa diakses akibat auto-update, serta UI yang lambat dan UX autofill yang tidak nyaman
  • Daripada menyerahkan semua kredensial ke satu vault, lebih tepat jika dipisahkan antara proyek profesional/klien, akun PII, akun non-PII, infrastruktur, dan secret sekali pakai menggunakan alat seperti pengelola kata sandi SaaS, keluarga KeePass, HashiCorp Vault, dan pass

Latar belakang mengapa saya tidak lagi merekomendasikan Bitwarden

  • Hampir 4 tahun lalu, melalui cara menjalankan sendiri seperti LastPass di hardened OpenBSD, penulis membahas konfigurasi yang menempatkan Vaultwarden di instance OpenBSD atau bare metal Raspberry Pi dan memakainya sebagai backend untuk aplikasi klien Bitwarden
  • Setelah selama beberapa tahun memakai pendekatan serupa secara langsung, kesimpulannya kini adalah tidak merekomendasikan penggunaan Bitwarden
  • Masalah utamanya diringkas sebagai beratnya server resmi, tidak jelasnya arah open source, kualitas dan UX aplikasi klien, isu keamanan yang berulang, serta risiko dari model yang mempercayakan semua kredensial pada satu pengelola kata sandi

Pengelola kata sandi premium dengan lisensi ganda

  • Wikipedia menjelaskan Bitwarden sebagai layanan pengelola kata sandi open source premium untuk menyimpan informasi sensitif, serta memperkenalkan bahwa layanan ini dimiliki dan dikembangkan oleh Bitwarden, Inc.
  • Bitwarden mengembangkan server resmi dan aplikasi klien untuk sebagian besar platform, serta menyediakan produk SaaS bagi pengguna yang tidak ingin melakukan hosting sendiri
  • Harga produk hosting-nya serupa dengan produk pesaing, meski ada perbedaan fitur, dan aplikasi klien yang digunakan tetap sama baik memakai hosting maupun self-hosting
  • Bitwarden menerima investasi growth equity sebesar 100 juta dolar dari PSG pada 2022, dengan partisipasi Battery Ventures
  • Pengelola kata sandi yang ingin mempertahankan open source berbeda dengan pengelola kata sandi yang dewan direksinya berisi investor yang mengharapkan hasil dari investasi 100 juta dolar, dan sejak titik itu produk menjadi lebih mudah bergerak demi investor ketimbang pengguna

Kontras antara server resmi dan Vaultwarden

  • Ada penilaian bahwa ketika melakukan hosting Bitwarden sendiri, pengguna relatif cepat masuk ke neraka perangkat lunak enterprise
  • Deployment server Bitwarden standar adalah backend C# yang berat dan dibundel dengan MSSQL Express, serta tidak berjalan bersama database yang lebih ramah Linux seperti PostgreSQL atau MariaDB
  • Bergantung pada skala deployment dan kebutuhan high availability, pengguna mungkin harus memanfaatkan Kubernetes, yang pada akhirnya menambah overhead dan kompleksitas
  • Untuk deployment skala kecil hingga menengah, banyak yang lebih memilih Vaultwarden
    • Vaultwarden adalah server kompatibel Bitwarden tidak resmi yang ditulis dalam Rust
    • Karena lebih sederhana dan ringan daripada server resmi Bitwarden, perbedaannya sangat terasa bagi administrator
    • Fakta bahwa jumlah bintang GitHub-nya tampak sekitar 3 kali lebih banyak daripada implementasi resmi membuat orang berpikir tentang bagaimana pengguna teknis Bitwarden saat ini memandang arah stack resmi
  • Untuk perusahaan yang telah menerima investasi Series B sebesar 100 juta dolar, sebetulnya layak dipertimbangkan untuk mengajak pihak yang membuat implementasi backend jauh lebih sukses itu bergabung dalam upaya optimalisasi dan percepatan stack resmi

Bitwarden lite dan arah open source

  • Alih-alih menerima Vaultwarden sebagai proyek resmi, Bitwarden tampaknya mempekerjakan pengembang utama Vaultwarden lalu merilis Bitwarden lite, versi yang lebih ringan dari backend yang sudah ada
  • Bitwarden lite masih berupa layanan berbasis .NET dari Microsoft, dan dinilai tetap membutuhkan RAM lebih dari 3 kali lipat dibanding yang biasanya dikonsumsi instance Vaultwarden
  • Karakter open source Bitwarden makin kabur selama sekitar satu tahun terakhir
    • Pada akhir 2024, para pengguna menemukan dependensi baru @bitwarden/sdk-internal masuk ke klien
    • Lisensi tersebut memuat kalimat bahwa SDK ini tidak boleh digunakan untuk perangkat lunak selain Bitwarden, implementasi yang tidak kompatibel dengan Bitwarden, atau pengembangan SDK lain
  • Untuk produk yang mengusung open source, kalimat lisensi seperti ini dipandang sebagai titik balik yang cukup besar
  • Setelah penolakan besar dari komunitas, Bitwarden menyebutnya sebagai “bug packaging”, lalu pada akhirnya melisensikan ulang SDK tersebut ke GPLv3
  • Secara teknis masalahnya selesai, tetapi secara filosofis muncul kesan bahwa bagian gratis dan open source hanyalah umpan, sementara produk sebenarnya adalah langganan SaaS dan komunitas sekadar berperan menyediakan issue dan terjemahan
  • Kritik terkait juga muncul lewat The freeware parts are bait

Aplikasi klien adalah masalah inti

  • Bahkan jika backend dikesampingkan, masalah terbesar Bitwarden disebut terletak pada aplikasi klien
  • Ada penilaian bahwa fitur yang diiklankan tidak bekerja sesuai harapan, fungsi dasar masih belum ada meski sudah 10 tahun sejak rilis, dan antarmuka pengguna kalah baik dibanding alternatif dengan harga serupa
  • Jika Bitwarden merupakan murni upaya komunitas FOSS, kekurangan seperti ini mungkin bisa dimaklumi, tetapi karena ini perusahaan yang didanai modal ventura, sulit menerapkan standar yang sama
  • Cara komunitas tampak terikat prosedur birokratis juga memperlihatkan bahwa Bitwarden lebih merupakan produk perusahaan daripada hasil kerja komunitas

Masalah migrasi vault

  • Sekitar setahun lalu, penulis membantu pengguna yang ingin berpindah dari produk pesaing ke Bitwarden dengan niat mendukung perangkat lunak open source melalui langganan tahunan alih-alih memakai platform proprietari
  • Dalam proses mengimpor vault dari pengelola kata sandi lama ke akun Bitwarden baru, muncul masalah, dan menurut laporan bug GitHub, setidaknya ada satu vault yang memerlukan solusi teknis cukup rumit agar impor berhasil
  • Fitur migrasi dan impor ini diiklankan di berbagai materi pemasaran dan dokumentasi Bitwarden, dan beberapa pengguna lain juga sudah mengalami masalah yang sama
  • Meski begitu, Bitwarden dipandang bukan menangani issue tersebut, melainkan meminta agar diskusi lain dibuka di forum komunitas
  • Birokrasi ala korporat seperti ini tidak selaras dengan citra perangkat lunak open source, dan juga sulit dibenarkan ketika fitur yang diiklankan baik pada perangkat lunak open source maupun produk berbayar ternyata tidak benar-benar berfungsi
  • Saat impor yang sama diuji pada alternatif proprietari Bitwarden, semuanya berjalan tanpa masalah

Tidak adanya pemindahan item antar vault

  • Masalah migrasi tidak terbatas hanya pada impor awal
  • Bahkan jika mencoba memindahkan item antara vault organization dan vault individual di dalam Bitwarden, sampai saat ini tidak ada fungsi yang layak untuk memindahkan item yang dipilih ke tempat lain
  • Jika hanya ada beberapa item login, Anda bisa menyalin dan mengeditnya, tetapi saat harus merapikan ratusan item, keluar dari organisasi, atau menggabungkan beberapa organisasi, pekerjaan berulang menjadi berlebihan
  • Solusi resmi yang direkomendasikan oleh dukungan Bitwarden dan thread komunitas adalah mengekspor vault asal sebagai JSON tanpa enkripsi, mengedit file tersebut, lalu mengimpornya kembali ke vault tujuan
  • Proses ini menimbulkan risiko keamanan karena lebih dari 500 kredensial dapat berada dalam bentuk teks polos di ~/Downloads atau direktori sinkronisasi cloud seperti Dropbox, OneDrive, atau iCloud
  • Ekspor juga tidak menyertakan lampiran file, item sampah, riwayat kata sandi, maupun stempel waktu
  • Bagi organisasi yang bergantung pada lampiran seperti file kunci SSH, kunci lisensi, kode pemulihan berbentuk gambar, atau riwayat kata sandi untuk kepatuhan dan audit, pendekatan ini sulit diterima
  • Fakta bahwa produk yang seharusnya menjadi satu-satunya sumber kebenaran untuk kredensial masih belum menyediakan tombol untuk memindahkan 500 item secara utuh ke vault lain bahkan setelah 10 tahun menunjukkan prioritas rekayasa yang diambil

Pembaruan klien yang merusak fitur

  • Bitwarden mendistribusikan pembaruan klien kepada pengguna tanpa pemberitahuan sebelumnya, dan pembaruan ini terkadang dapat menyebabkan vault tidak dapat diakses di sisi klien
  • Saat bepergian, F-Droid memperbarui Bitwarden semalaman ketika ponsel terhubung ke daya, dan keesokan paginya vault tidak bisa diakses dari aplikasi Bitwarden yang dibutuhkan untuk login bank
  • Butuh waktu untuk mengetahui penyebabnya, dan situasinya dikonfirmasi melalui isu bitwarden/android serta diskusi Vaultwarden
  • Situasi yang lebih buruk bisa dihindari karena ada UPDC yang meng-host backend Bitwarden
  • Cara mendorong pembaruan yang tampaknya berisi perubahan protokol yang merusak kompatibilitas antara klien dan backend terasa tidak bertanggung jawab, dan membawa pada kesimpulan bahwa Bitwarden tidak bisa dipercaya oleh pengguna yang harus mengandalkan pengelola kata sandi dalam mode offline
  • Setelah itu, pembaruan otomatis klien Bitwarden dinonaktifkan, dan snapshot terbaru dari semua kata sandi diekspor ke cadangan lokal berbasis KeePassChi, KeePassXC, dan KeePassDX
  • Masalah ini dinilai bukan hanya persoalan Vaultwarden, berbeda dengan klaim staf Bitwarden
    • Ada banyak laporan serupa di repositori bitwarden/android
    • Regresi pada rilis 2025.12.x dilaporkan meminta master password dua kali setelah login dan menyebabkan aplikasi crash
    • Rilis 2025.6.0 dilaporkan menyebabkan crash segera saat startup bagi banyak pengguna
  • Aplikasi Android ditulis ulang sepenuhnya dari .NET MAUI ke Kotlin native pada 2024, dan sejak rilis v2024.10.1 dinilai terus mengalami regresi di setiap rilis kuartalan

Pengalaman pengguna dan kualitas aplikasi desktop·mobile

  • Bitwarden dinilai sebagai salah satu aplikasi terburuk secara subjektif dari sisi UI di ponsel dan desktop
  • Bahkan setelah digunakan selama bertahun-tahun, membuka ekstensi ungoogled-chromium atau aplikasi desktop maupun mobile terasa enggan
  • Membangun aplikasi desktop berbasis Electron dari source sangat merepotkan, dan Flatpak siap pakai tidak berfungsi dengan baik di Wayland
  • Klien dan ekstensi memang mendukung penggunaan offline, tetapi tampaknya tidak dirancang dengan penggunaan offline sebagai fokus utama
    • Saat membuka aplikasi mobile atau ekstensi browser, ada jeda seolah-olah mencoba terhubung ke backend
    • Dalam konfigurasi yang tidak menempatkan backend di internet publik, jeda ini bisa berlangsung dari beberapa detik hingga beberapa menit
    • Tampaknya tidak ada cara untuk mematikan sinkronisasi saat membuka kunci vault agar tidak menunggu tanpa perlu
  • Daftar login Vault di ekstensi browser juga tidak nyaman digunakan
    • Biasanya pengelola kata sandi lain mengisi formulir login saat item dalam daftar diklik
    • Di Bitwarden, mengklik seluruh item daftar justru membuka layar detail, dan autofill hanya berjalan jika menekan tombol kecil Fill di sisi kanan
    • Saat mouse diarahkan, item daftar yang besar disorot, tetapi autofill sebenarnya hanya terikat pada tombol kecil itu sehingga sulit dioperasikan
    • Tampaknya juga tidak ada pengaturan untuk mengubah perilaku agar klik item daftar melakukan autofill dan tombol kecil membuka detail
  • Masalah serupa juga berulang kali muncul di Hacker News dan komunitas
  • Bahkan permintaan fitur seperti riwayat edit sederhana per item yang sudah ada di forum komunitas sejak 2021 belum ditangani, dan reseller MSP juga secara terbuka mengkritiknya sebagai “pengembangan fitur yang lambat seperti gletser”

Antarmuka berisiko pada Bitwarden CLI

  • Bitwarden CLI juga dinilai memiliki antarmuka pengguna yang buruk
  • Perintah list pada alat bw menampilkan detail semua item, termasuk kata sandi dan kode TOTP, bahkan tanpa flag tambahan seperti --show-credentials
  • Desain ini dikritik karena tidak cukup mempertimbangkan situasi ketika bw list tanpa sengaja dipipe ke tempat lain dan akhirnya membocorkan semua kredensial
  • Fakta bahwa Bitwarden CLI adalah alat terminal yang dibuat dengan TypeScript juga disebut sebagai masalah
    • Runtime dan dependensinya banyak
    • Stack JavaScript dinilai bukan lagi pilihan yang ringan untuk dijalankan begitu saja di lingkungan CI

Riwayat keamanan

  • Peran inti pengelola kata sandi adalah menjaga pengguna tetap aman dan menyimpan kredensial dengan aman
  • Sebagai produk yang telah berjalan sejak 2016, Bitwarden dinilai telah mengalami cukup banyak masalah keamanan yang benar-benar ter-deploy di production
  • Ini bukan berarti setiap insiden secara individual bersifat fatal, tetapi yang dipermasalahkan adalah sikap keamanan yang berpusat pada respons setelah kejadian, respons ala “perilaku yang dimaksudkan” terhadap temuan yang membingungkan, ketergantungan CLI inti keamanan pada toolchain Node.js, serta pola lambatnya penanganan masalah yang sebelumnya sudah diperingatkan oleh peneliti eksternal

  • 2023: KDF

    • Pada Januari 2023, tepat setelah pelanggaran LastPass, peneliti keamanan Wladimir Palant memublikasikan analisis bahwa 200.001 iterasi PBKDF2 yang diiklankan Bitwarden pada praktiknya lebih mendekati 100.000 iterasi
    • Alasannya, iterasi tambahan di sisi server hanya diterapkan pada hash kata sandi utama yang dipakai untuk login, bukan pada kunci enkripsi yang melindungi data vault
    • Penilaian yang muncul adalah bahwa penyerang yang memperoleh akses ke vault yang bocor dapat sepenuhnya melewati server, sehingga tingkat keamanan efektifnya menjadi sama dengan LastPass
    • Jumlah iterasi default di sisi klien saat itu juga lebih rendah daripada rekomendasi OWASP, yaitu 100.000 iterasi, dan kekhawatiran ini sudah diangkat sejak 2020
    • Bitwarden pada akhirnya menaikkan nilai default menjadi 600.000 iterasi dan menambahkan dukungan Argon2, tetapi perubahan awal hanya berlaku untuk akun baru sehingga pengguna lama harus mengubah pengaturan KDF sendiri

  • 2023: bypass Windows Hello

    • Pada 2023, RedTeam Pentesting mengungkap kerentanan klien desktop Windows “Bitwarden Heist”
    • Kerentanan ini, CVE-2023-27706, memungkinkan penyerang dengan hak domain administrator mengekstrak kunci dekripsi vault dari penyimpanan lokal DPAPI tanpa Windows Hello maupun prompt kata sandi utama
    • Para peneliti menyatakan bahwa proses apa pun yang berjalan dalam sesi pengguna dengan hak rendah dapat meminta kredensial pembuka kunci vault ke DPAPI
    • Perbaikannya baru dimasukkan beberapa bulan setelah pengungkapan awal, dalam versi 2023.4.0

  • 2023: autofill lintas origin

    • Pada tahun yang sama, CVE-2023-27974 diungkap
    • Ekstensi browser Bitwarden menawarkan pengisian kredensial bahkan ke iframe lintas domain yang disematkan di halaman tepercaya, selama domain dasarnya cocok
    • Misalnya, jika trusted.com menyertakan iframe attacker.trusted.com dan subdomain tersebut dikendalikan pihak ketiga, kredensial bisa dicuri
    • Bitwarden menjawab bahwa iframe harus diperlakukan seperti ini demi kompatibilitas, dan bahwa “Auto-fill on page load” tidak aktif secara default
    • Bagi pengguna yang menyalakan opsi itu, hal tersebut nyaris tidak memberi penghiburan

  • 2025: clickjacking berbasis DOM

    • Pada Agustus 2025, peneliti keamanan Marek Tóth mengungkap jenis serangan clickjacking berbasis DOM yang dapat membuat ekstensi browser Bitwarden mengisi otomatis data kartu kredit dan informasi pribadi dari halaman berbahaya hanya dengan satu klik
    • Kerentanan tersebut dilaporkan pada April 2025, empat bulan sebelum dipublikasikan, tetapi Bitwarden mengklasifikasikannya sebagai “moderate severity”
    • Patch-nya dimasukkan dalam versi 2025.8.2 yang dirilis tepat pada hari embargo peneliti berakhir

  • 2026: Shai-Hulud

    • Beberapa hari sebelum tulisan ini dibuat, klien CLI resmi Bitwarden 2026.4.0 dikompromikan dalam serangan supply chain Checkmarx yang sedang berlangsung
    • Versi paket yang terdampak tampaknya adalah @bitwarden/cli2026.4.0, dan kode berbahaya dipublikasikan di bw1.js yang disertakan dalam paket
    • Serangan ini tampaknya memanfaatkan GitHub Action yang telah disusupi dalam pipeline CI/CD Bitwarden, sejalan dengan pola korban repositori lain dalam kampanye ini
    • Organisasi yang memasang paket npm Bitwarden berbahaya ini harus menanganinya sebagai insiden kebocoran kredensial dan kompromi CI/CD
    • Payload mengunduh runtime Bun, mendekripsi worm Shai-Hulud tahap 2, lalu mengumpulkan token GitHub dan npm, kunci SSH, riwayat shell, kredensial AWS, GCP, Azure, secret GitHub Actions, hingga file konfigurasi MCP yang digunakan alat AI
    • Data yang dicuri dieksfiltrasi dengan cara otomatis membuat repositori publik di akun GitHub milik korban sendiri lalu mengunggahnya ke sana
    • Pipeline distribusi npm Bitwarden berada dalam keadaan terkompromi selama sekitar 19 jam, cukup bagi 334 pengembang untuk mengunduh paket berbahaya tersebut
    • Posisi resmi Bitwarden menekankan bahwa data vault pengguna akhir tidak diakses, tetapi pengguna yang menjalankan bw di pipeline CI pada dasarnya menyerahkan secret lain yang ada di mesin tersebut kepada penyerang
    • Muncul penilaian bahwa jika bw berupa biner tunggal static-linked seperti yang umum di ekosistem Go atau Rust, radius ledakan dalam bentuk npm ini tidak akan ada
    • Meski serangan supply chain juga meningkat di ekosistem Go dan Rust, hambatan untuk melakukan serangan yang berhasil masih dinilai lebih tinggi

Pendekatan ke depan: pisahkan dan isolasi

  • Saya sampai pada kesimpulan bahwa tidak ada satu pengelola kata sandi yang sempurna untuk semua kasus penggunaan dan pengaturan
  • Dalam kehidupan pribadi, tidak perlu berbagi vault atau kata sandi individual dengan orang lain, tetapi di pekerjaan hal seperti ini umum terjadi
  • Login rekening bank atau portal asuransi tidak perlu digunakan di alat CLI, tetapi harus bisa diakses dari beberapa perangkat
  • Secret penyimpanan cloud atau private key SSH untuk deployment tidak perlu disinkronkan ke ponsel, tetapi harus dapat diakses dari alat baris perintah yang bisa dipanggil secara terprogram
  • Daripada mencoba menyelesaikan semuanya dengan satu perangkat lunak atau satu platform, lebih masuk akal untuk mengotak-ngotakkan kumpulan kredensial dengan lebih baik
  • Dari sudut pandang keamanan juga, membagi kelompok kata sandi ke perangkat lunak dan layanan yang berbeda dapat mengurangi cakupan dampak saat terjadi pelanggaran data

Klasifikasi kredensial dan pemilihan alat

  • Grup A: proyek profesional·klien

    • Grup A adalah kredensial proyek profesional·klien seperti login platform
    • Gunakan pengelola kata sandi SaaS yang menyediakan berbagi vault yang tepat, integrasi dengan alat yang benar-benar dipakai klien, SSO, ekstensi browser pada perangkat perusahaan, log audit, dan menghilangkan beban hosting
    • Platformnya adalah produk proprietary sehingga biasanya tidak saya sukai, tetapi karena cakupan grup ini dibatasi hanya untuk pekerjaan klien, kompromi ini saya terima

  • Grup B: akun yang mencakup PII

    • Grup B adalah kredensial untuk akun yang menyimpan PII, seperti rekening bank dan mal belanja online
    • Akun-akun ini sudah menyimpan informasi pribadi seperti nama, alamat, tanggal lahir, dan informasi pembayaran, layanan-layanan tersebut sendiri juga rutin mengalami kebocoran, dan hal itu juga bisa dicek di Have I Been Pwned
    • Saya menilai pelanggaran pada pengelola kata sandi tidak akan secara berarti memperluas informasi yang diketahui penyerang
    • Dalam situasi di mana ada TOTP dan Passkeys, yang penting di sini adalah ketersediaan lintas perangkat, keandalan, dan fungsi offline
    • Agar tidak otomatis ikut terdampak bersama Grup A, gunakan pengelola kata sandi cloud kedua yang terpisah dari vendor lain, dengan kata sandi master dan mekanisme pemulihan yang berbeda
    • Karena saya berencana menjalankan aplikasi mobile pada setidaknya satu perangkat GrapheneOS, saya lebih memilih solusi yang tidak bergantung pada Google Play Services dan, jika memungkinkan, menyediakan klien open source atau source-available

  • Grup C: akun tanpa PII

    • Grup C mencakup forum internet, situs web, layanan yang menghormati privasi, dan akun-akun yang tidak menyimpan PII
    • Untuk grup ini, layanan cloud tidak diperlukan dan juga tidak diinginkan
    • Gunakan KeePassChi, KeePassXC, dan KeePassDX, lalu simpan file database di folder yang disinkronkan antarperangkat dengan Syncthing
    • Pendekatan ini juga dibahas dalam tulisan sebelumnya tentang membuat Dropbox terdesentralisasi dengan Syncthing
    • Karena file .kdbx itu sendiri terenkripsi, bahkan jika Syncthing dibobol dan penyerang mendapatkan file tersebut, mereka tetap harus memecahkan enkripsi KeePassChi/KeePassXC untuk memperoleh informasi yang berguna
    • Di mobile, KeePassDX di Android juga dapat membaca file yang sama tanpa masalah

  • Grup D: infrastruktur

    • Grup D adalah kredensial infrastruktur seperti login server dan kunci SSH
    • Kredensial pribadi disimpan dengan cara yang sama seperti Grup C
    • Untuk kredensial yang benar-benar digunakan oleh skrip, pekerjaan CI, dan server jarak jauh, gunakan HashiCorp Vault
    • HashiCorp Vault adalah alat yang sudah saya operasikan untuk keperluan PKI pada pengaturan OpenBSD
    • Untuk pengguna tunggal ini memang agak berlebihan, tetapi ia menyediakan kebijakan akses, autentikasi berbasis token untuk agen otomatisasi, kredensial berumur pendek jika didukung, dan log audit
    • Infisical juga sedang dipertimbangkan

  • Grup E: kredensial sekali pakai

    • Grup E adalah kunci API, token akses pribadi, dan secret acak yang hanya digunakan di command line
    • Gunakan utilitas lawas pass
    • pass menyimpan setiap secret sebagai file terenkripsi GPG terpisah di dalam repositori Git
    • Strukturnya sederhana, mudah diaudit, dan cocok dengan shell script serta dotfiles
    • Repositori Git berada di infrastruktur sendiri, bukan di GitHub, dan hanya disinkronkan secara manual saat benar-benar perlu diakses dari mesin lain

Kesimpulan dari beralih dari satu vault ke banyak alat

  • Bagi pengguna yang datang dari dunia satu vault, ini mungkin terlihat seperti konfigurasi yang berlebihan dengan terlalu banyak komponen bergerak
  • Setelah bertahun-tahun memakai Bitwarden sebagai solusi serbaguna, saya sampai pada penilaian bahwa one size fits all pada kenyataannya adalah one size fits poorly
  • Memisahkan kredensial ke beberapa alat ternyata jauh lebih tidak menyakitkan daripada yang semula saya perkirakan, karena masing-masing alat lebih cocok untuk tugas tertentu
  • Bahkan jika satu alat dibobol, radius ledakannya terbatas pada satu kategori secret, bukan seluruh kredensial

Penilaian akhir

  • Setelah bertahun-tahun self-hosting Bitwarden, saya menilai produk ini makin menjauh dari arah yang dulu saya harapkan
  • Arsitektur yang berorientasi enterprise tetapi nyaris pas di Raspberry Pi, upaya backend ringan yang setengah-setengah, kontroversi lisensi SDK, lambatnya penanganan fitur, masalah UX yang tidak diperbaiki selama bertahun-tahun, dan isu keamanan yang sejak awal seharusnya tidak pernah dirilis, semuanya bersama-sama membentuk gambaran yang tidak cocok dengan narasi “pengelola kata sandi open source untuk semua orang”
  • Ini bukan berarti alternatif secara universal lebih baik atau bebas masalah
  • Pengelola kata sandi pada dasarnya memang sulit, dan semua pemain di ranah ini punya masalah masing-masing
  • Kita perlu meninjau dengan ketat seberapa besar kepercayaan yang kita letakkan pada satu perangkat lunak tunggal untuk semua kredensial, dan apakah taruhan itu masih tepat; dalam kasus ini, saya sampai pada kesimpulan bahwa itu bukan lagi pilihan yang benar

Diskusi terkait

Bacaan terkait

1 komentar

 
GN⁺ 1 jam lalu
Pendapat Lobste.rs

  • Pesan kilat matikan JavaScript yang muncul setelah berpindah tab juga menyebalkan, dan judul tab yang berubah-ubah juga menyebalkan
    Saya tidak akan mematikan JavaScript secara default. Terlalu banyak situs yang rusak karenanya
    Untuk sebagian besar situs yang biasa saya kunjungi, pemblokir iklan sudah cukup, dan NoScript hanya saya pakai untuk beberapa situs nakal, dan sepertinya situs ini masuk daftar itu

    • Saya benar-benar tidak suka bahwa saat membaca tulisan di internet, eksekusi kode arbitrer dianggap sebagai default yang wajar
      Saya setuju, tapi seseorang harus melakukan sesuatu. Seperti yang dibilang, kenyamanan menyalakan JavaScript di semua tempat masih lebih besar daripada repotnya situs ini saja, tapi suatu hari nanti kenyamanan itu akan melewati titik batas
    • Saya sengaja menghindari situs itu sejak pernah menampilkan “steve ballmer nude pics” sebagai <title> yang “lucu” saat saya di kantor
    • Saya memang tidak suka gaya penulisannya
    • Saya paham maksudnya, dan sebenarnya setuju karena saya juga menyalakan JavaScript secara default
      Hanya saja saya tidak memberi pengecualian untuk situs nakal, melainkan menghapusnya dari riwayat dan berusaha tidak kembali lagi
      Di saat yang sama, saya juga paham maksud penulisnya. Kelihatannya bukan sekadar trolling, melainkan ingin mengatakan, “Ya, ini memang tindakan nakal. Tapi masuk akalkah kalau di web, situs mana pun secara default bisa melakukan hal seperti ini atau bahkan yang jauh lebih buruk?”
      Sebagian besar karier saya dimungkinkan oleh JavaScript, tetapi tetap terasa cukup gila bahwa halaman yang hanya berisi teks atau gambar bisa mengeksekusi kode arbitrer tanpa peringatan atau petunjuk apa pun, lalu memakai CPU, bandwidth, dan sumber daya lain tanpa batas

  • Ada juga bagian yang membuat saya kurang nyaman dengan KeePassXC
    Saya khawatir penggunaan alat AI akan mempercepat penambahan fitur yang tidak saya inginkan maupun butuhkan ke pengelola kata sandi. Saat ini tampaknya masih banyak dipakai untuk memperbaiki bug, tetapi setelah sebagian besar bug selesai diperbaiki, langkah berikutnya sudah bisa ditebak. Godaannya terlalu besar
    Belakangan mereka menambahkan “dukungan lebih banyak format file di inline attachment viewer (gambar, HTML, Markdown), serta kemampuan mengedit lampiran file teks”, dan saya tidak ingin kode seperti itu ada di dalam pengelola kata sandi. Sudah ada editor teks dan aplikasi untuk melihat file
    Mereka cukup fokus saja pada pengalaman pengguna terbaik semampunya sambil bersaing ketat dengan 1Password. Saya juga belum siap memercayai para pengembang KeePassX? KeePassChi? ChiPass?

  • Di hampir semua hal saya lebih memilih perangkat lunak bebas dan sumber terbuka, tetapi untuk pengelola kata sandi saya sudah cukup lama memakai 1Password
    Untuk bidang ini saya memutuskan tidak akan berhemat, dan dari model langganannya saya menilai model bisnis perusahaan ini bukan upsell dari tier gratis, melainkan menjual produk yang benar-benar berfungsi
    Saya berharap ini sumber terbuka, tetapi terlepas dari itu, sinkronisasi antardevice stabil dan ekstensi browser menjalankan tugasnya tanpa masalah

    • Dulu saya penggemar berat 1Password dan memakainya lebih dari 10 tahun
      Batas terakhir bagi saya adalah ketika mereka pada dasarnya memblokir cara membawa sarana sinkronisasi sendiri, alih-alih menyimpan data saya di server mereka
      Saat itu klien non-Apple mereka juga kurang bagus, dan fakta bahwa saya makin sering memakai platform non-Apple juga berpengaruh. Sepertinya itu membaik dalam beberapa tahun terakhir, tetapi saya belum mencobanya lagi
      Saya pergi bukan karena uang. Sekarang saya tetap membayar Bitwarden sambil meng-host penyimpanan data sendiri dengan VaultWarden
      Saya memang lebih suka perangkat lunak bebas dan sumber terbuka, tetapi untuk alat seperti ini, tolok ukur mutlaknya adalah apakah saya bisa mengendalikan lokasi penyimpanan data
    • Dalam situasi tertentu sinkronisasi masih gagal
      Jika saya mengubah kredensial di tempat lain selain perangkat Android, saat pertama kali memakai 1Password di Android setelah itu, ia mengisi kredensial lama sebelum nilai barunya tersinkron
      Login pertama gagal, lalu setelah sadar penyebabnya dan mencoba kedua kali, biasanya berhasil karena sinkronisasinya sudah selesai. Menyebalkan setiap kali terjadi

  • Saya umumnya setuju dengan argumen yang menentang Bitwarden, tetapi cukup banyak masalah yang diangkat sebenarnya bukan masalah besar, dan sebagian tampaknya berasal dari konfigurasi kustom seperti VaultWarden atau GrapheneOS
    Saya sudah memakai Bitwarden sekitar 5~6 tahun, dan satu-satunya masalah yang saya alami hanyalah ekstensi browser sempat lambat setelah perombakan UI. Saya mengatasinya dengan menurunkan versi ke ekstensi lama dari rilis GitHub dan memakainya selama beberapa bulan
    Kalau sudah menulis sepanjang itu, saya berharap setidaknya disebutkan juga alternatif SaaS yang benar-benar bisa dipakai untuk pindah. Memang bisa jadi hasilnya lebih baik kalau pembaca meneliti sendiri lalu memilih pengelola kata sandi SaaS yang cocok untuk mereka, tetapi tetap saja merepotkan
    Saya ingin mendengar pengelola kata sandi lain yang menyediakan hosting gratis, dukungan offline, sinkronisasi cloud otomatis, ekstensi browser dengan shortcut autofill, dan aplikasi mobile, kalau bisa alternatif sumber terbuka
    Setelah sedikit mencari, untuk orang yang mencari alternatif tampaknya Proton Pass memenuhi semua syarat itu. Mungkin suatu saat saya akan mencobanya, tetapi untuk sekarang Bitwarden masih cocok untuk saya

    • Saya hanya pernah memakai konfigurasi resmi Bitwarden, dan salah satu kritik itu memang terdengar benar
      Mengatur item di dalam Bitwarden nyaris tidak masuk akal
      Andai setidaknya ada hal sederhana seperti drag-and-drop kolom untuk memindahkan item antarorganisasi, itu sudah bagus, tetapi sekarang yang tersisa hanya sistem yang serba terbatas
      Lucu juga bahwa untuk perangkat lunak berbayar, solusi nyata satu-satunya justru membuat alat administrasi sendiri
    • Di Firefox masih sangat lambat, sampai saya meninggalkan ekstensinya dan memakai aplikasi desktop
    • Semua masalah terkait command line terselesaikan dengan rbw
      Saya menemukannya belum lama ini dan sekarang sudah sepenuhnya pindah

  • pass, “pengelola kata sandi UNIX standar”, juga bagus. Saya sudah memakainya lebih dari 10 tahun
    https://www.passwordstore.org/

  • Saya memakai Bitwarden, jadi saya berharap tulisan ini meyakinkan saya untuk berhenti memakainya dan menawarkan pendekatan yang lebih baik
    Tetapi kalau seseorang meluangkan waktu menulis sepanjang ini dan tetap tidak punya keluhan selain hal-hal sangat sepele, juga tidak punya usulan yang jauh lebih baik, justru itu membuat saya lebih tenang terhadap Bitwarden

    • Hampir mengecewakan rasanya
      Bitwarden mendukung membuka kunci vault dengan passkey. Itu adalah rahasia terakhir yang masih harus saya ingat
      Alternatif apa pun setidaknya harus bisa melakukan itu

  • Sebagai pengguna Bitwarden, saya merekomendasikannya
    Murah, menyediakan semua fitur yang saya butuhkan, dan merupakan perangkat lunak bebas dan sumber terbuka
    Saya tidak punya waktu untuk memakai 5 solusi pengelola kata sandi, 4 alat command line, dan 3 kata sandi master. Bitwarden cukup hebat
    Dari 1Password terasa ada aura yang benar-benar jahat sehingga saya tidak ingin berurusan dengannya

    • Saya sudah melewati Chrome, sinkronisasi KeePass self-hosted, Firefox, dan akhirnya sekarang di Bitwarden
      Untuk pindah dan berbagi dengan keluarga, ini jelas yang paling mudah. Biaya langganannya juga sangat murah

  • Apakah ada solusi sumber terbuka lain yang mendukung berbagi kredensial seperti Bitwarden?
    Saya sudah memakai KeePass/KeePassXC lebih dari 15 tahun, tetapi saat perlu berbagi kumpulan kredensial dengan anggota tim non-developer atau keluarga, saya belum menemukan solusi yang lebih baik daripada Bitwarden
    Saya tidak pernah benar-benar menyukai Bitwarden, tetapi dalam hal penyimpanan kredensial serta berbagi dan sinkronisasi, itu selalu menjadi pilihan yang paling tidak buruk

    • Belum lama ini saya menemukan Passbolt[0]
      Kesan perusahaan seperti Bitwarden memang ada, tetapi terlihat menarik. Saya tidak tahu apakah benar-benar bagus, tetapi tampaknya bisa menjadi alternatif Bitwarden
      [0]: https://www.passbolt.com/
    • Pindahkan semua kata sandi ke pengelola kata sandi lain yang Anda sukai, lalu tetap gunakan Bitwarden hanya untuk kredensial bersama

  • Saya sudah lama memakai keepassXC dan keepassDX. Nama-namanya memang benar-benar bodoh
    Saya berharap suatu hari bisa pindah ke ChiPass

  • Kalau GPG… mungkin maksudnya mengenkripsi ke diri sendiri dengan RSA?
    Lebih baik pakai age