Bitwarden: Nejlepší správce hesel?

16.3.2021 23:44 | Přečteno: 8419× | linux | poslední úprava: 31.12.2021 11:26

Existuje mnoho správců hesel, ale který si vybrat?

Úvod

Každý se jednou postaví před otázku správy a ukládání hesel. Existuje spoustu řešení, tak které je to pravé? To samozřejmě říci nelze, každý má jiné požadavky a i subjektivní pocity je do toho třeba zahrnout podobně jako u spousty věcí.

Rozdílnými požadavky na hesla myslíme třeba to, že někdo si vystačí s málem a nepožaduje třeba tyto fce:

• možnost přístupu více klientů najednou (tzn. serverové řešení)
• možnost sdílení hesel mezi více lidmi
• podpora acl
• podpora správy uživatelů
• automatické doplňování do programů
• možnost kopírování zahvězdičkovaného hesla (třeba když vám někdo dýchá na záda)
• open source
• mít variabilní položky (možnost si přidávat více hodnot pod jednu položku/záznam)
• lepší systém třídění do složek/kategorií apod.
• možnost vyhledávání v záznamech
• automatické vyplňování
• možnost zabezpečeně posílat hesla třetí straně
• přístup k heslům z různých zařízení (aplikace pro mobily, linux, windows apod.)
• možnost dvoufaktorového ověřování
• možnost ukládat přílohy a zašifrovaně
• podpora importu hesel z jiných systémů
• podpora exportu hesel
• podpora historie změn
• možnost provozu na vlastním železe (on-premise)
• možnost generování hesel
• kontrola, zda jsou hesla provalená (= dostupná ve veřejných databázích hesel)
• požadavek na auditovaný kód
• neduplikovat záznamy, ale možnost jeden záznam sdílet napříč více skupinami lidí
• audit log
• přístup přes api
• možnost pravidelného přegenerování encryptovacího klíče
• podpora SSO
• offline mode (klienti si kešují data a je možné tak přistoupit k heslům i v případě, kdy je server nedostupný)
• atd.

Jinými slovy, někomu stačí naprosto parádní desktopová aplikace KeePass. Někdo pozvedne tuto aplikaci na webovou variantu KeeWeb a někomu nestačí ani to a potřebuje víc.

Proč Bitwarden? Cena?

Vesměs splňuje to, co bylo v úvodu řečeno, možná ještě více. Je tu ale pár ale. Banda, co to vyvíjí, to postavila na Microsoftích technologiích. Další nemilá věc je, že ofiko instalace je jen formou kontejneru v dockeru. A ta poslední nevýhoda je, že výsledkem těch dvou předchozích je náročnost. Tzn., že chceme aspoň dvě jádra (asi by stačilo jedno) a 2GB ram pro VM, kde nám to poběží. Chlapci to totiž postavili na MSSQL, .Net Core a ASP.Net Core. Už jenom samotný MSSQL neoplývá nenáročností a kdo kdy měl tu čest s nějakou .Net Core app ví, že někdy(né vždy) z 10MiB aplikace je díky závislostem 1GB aplikace, která si i něco vezme.

Dále je potřeba zmínit, že né všechny fce jsou bezplatné a člověk tak musí cálovat formou předplatných. Pokud jste tedy firma, kde je vás už více, potřebujete hesla sdílet a chcete to mít u sebe, tak jedině BusinessPlan Enterprise, tj. $5/uživatel/měsíc v případě, že platíte na rok dopředu (pokud chcete platit po měsících, tak je to $6). Funguje to tak, že se zaregistrujete do online verze Bitwardenu, vložíte kartu do systému a koupíte si příslušný počet licencí. Peníze se z karty strhnou až za 7 dní, protože první týden je zkušební doba, během které můžete účet stornovat a nic nezaplatit. Pokud tedy máte koupeno a je to enterprise plan, tak přes web ksicht máte možnost stáhnout licenční soubor. Tento licenční soubor si pak nahrajete do své on-premise instalace. Licenční soubor je s lokální instalací spárován pomocí ID té lokální instalace, nelze tedy klíč použít na jiných instalacích.

Pokud se podíváme na trh, tak zjistíte, že Bitwarden je opravdu ohledně fcí top, navíc i cenou je na tom přívětivěji, než konkurence.

Free verze

Bitwarden team razí přesvědčení, že každý by měl mít svá hesla zabezpečená. Z toho důvodu má i bezplatnou verzi. Tato bezplatná verze nelze provozovat v režimu on-premise, ale podporuje organizaci (sdílení hesel). Toto sdílení hesel je u free verze pro dva lidi a nepodporuje ukládání příloh. Pokud jste tedy dva a nevadí vám uložená hesla u nich v obláčku, tak vás asi nic nebude limitovat a můžete si užít i 2FA ověřování.

Jak moc je to bezpečné?

Na serveru není uloženo nic nešifrovaně. Veškeré šifrování probíhá na straně klienta a serveru se posílají jen zašifrovaná data. Pokud ztratíte heslo, tak jste přišli o vše, žádný recovery email pro reset hesla neexistuje, není prostě možný. Podrobněji viz jejich KB: I Forgot my Master Password. Tímto je i definován termín Zero Knowledge. Pokud vám tedy nějaký nástroj pro správu hesel umožní obnovit vaše zapomenuté heslo, tak vězte, že ten nástroj není bezpečný a není vhodné jej používat.

Jak tedy funguje sdílení hesel mezi uživateli? Hesla jsem zašifroval svým heslem, tak jak bez znalosti mého hesla se může kolega podívat do sdílených hesel a dešifrovat je? Hesla jsem totiž nezašifroval mým heslem, ale klíčem. Díky asymetrickému šifrování a kombinací privátních a veřejných klíčů lze toho dosáhnout.
Obecná část je popsána v blogu:
Password Sharing with Organizations
Lepší podrobnosti, jak dosáhnout sdílených dat pomocí klíčů viz wiki:
Public-key cryptography
Čím jsou klíče chráněny viz:
Encryption

Bitwarden má různé certifikace a chlubí se pravidelnými penetračními testy, viz: Compliance, Audits, and Certifications.

Ve finále lze i klíče pravidelně měnit/rotovat, viz: Account Encryption Key

Instalace

Instalovat budeme on-premise na Debian 10. Postup je vesměs dost jednoduchý

Předpříprava, tj. vytvoříme si uživatele, skupinu apod., kde bude mít Bitwarden data:

adduser bitwarden
passwd bitwarden
groupadd docker
usermod -aG docker bitwarden
mkdir /opt/bitwarden
chmod -R 700 /opt/bitwarden
chown -R bitwarden:bitwarden /opt/bitwarden

Následně provedeme stažení skriptu a spuštění instalace (je zde podpora pro Let'sEnCrypt, takže pokud je server přístupný z venku a jsou správně nasměrovány dns, tak můžete zvolit generování cert, já použil vlastní self signed):

# stažení bash souboru
cd /opt/bitwarden/
curl -Lso bitwarden.sh https://go.btwrdn.co/bw-sh

# nastavíme mu  práva pro spuštění
chmod +x bitwarden.sh

# spuštění skriptu
./bitwarden.sh install

 _     _ _                         _            
| |__ (_) |___      ____ _ _ __ __| | ___ _ __  
| '_ \| | __\ \ /\ / / _` | '__/ _` |/ _ \ '_ \ 
| |_) | | |_ \ V  V / (_| | | | (_| |  __/ | | |
|_.__/|_|\__| \_/\_/ \__,_|_|  \__,_|\___|_| |_|

Open source password management solutions
Copyright 2015-2021, 8bit Solutions LLC
https://bitwarden.com, https://github.com/bitwarden

===================================================

bitwarden.sh version 1.39.4
Docker version 20.10.3, build 48d30b5
docker-compose version 1.25.3, build d4d1b42b

(!) Enter the domain name for your Bitwarden instance (ex. bitwarden.example.com): bitwarden.corp.devaine.cz

(!) Do you want to use Let's Encrypt to generate a free SSL certificate? (y/n): n

1.39.4: Pulling from bitwarden/setup
a0432a628f6f: Pull complete 
578903754fa4: Pull complete 
cf52678748ce: Pull complete 
11b160c8462d: Pull complete 
934454d5bb9b: Pull complete 
ed67547b033c: Pull complete 
2c9afa715b19: Pull complete 
2a3ef1276c5a: Pull complete 
9532f6f80f2c: Pull complete 
2d8dd4439342: Pull complete 
Digest: sha256:935545649a074c156145167cbce019c657e85e57e99ff4c124560121952441d8a4
Status: Downloaded newer image for bitwarden/setup:1.39.4
docker.io/bitwarden/setup:1.39.4

(!) Enter your installation id (get at https://bitwarden.com/host): ************************

(!) Enter your installation key: *****************

(!) Do you have a SSL certificate to use? (y/n): y

!!!!!!!!!! NOTE !!!!!!!!!!
Make sure 'certificate.crt' and 'private.key' are provided in the 
appropriate directory before running 'start' (see docs for info).

(!) Is this a trusted SSL certificate (requires ca.crt, see docs)? (y/n): y

Generating key for IdentityServer.
Generating a RSA private key
.....................................++++
...............................................................................................................................................................................................................................................................++++
writing new private key to 'identity.key'
-----

Building nginx config.
Building docker environment files.
Building docker environment override files.
Building FIDO U2F app id.
Building docker-compose.yml.

Installation complete

If you need to make additional configuration changes, you can modify
the settings in `./bwdata/config.yml` and then run:
`./bitwarden.sh rebuild` or `./bitwarden.sh update`

Next steps, run:
`./bitwarden.sh start`

Jak můžete v průběhu vidět, tak instalátor nám vygeneroval "installation id" a "installation key". Ty budeme potřebovat pro případnou koupi/vygenerování licence.

V dalším kroku naladíme certifikáty (pokud jste nezvolili při instalaci Let's Encrypt)

# umístíme cert, které jsem si vygeneroval bokem pomocí mé CA "DevaineRootCA-G2":
mv bitwarden.corp.devaine.cz.pem /opt/bitwarden/bwdata/ssl/bitwarden.corp.devaine.cz/
mv bitwarden.corp.devaine.cz.cer /opt/bitwarden/bwdata/ssl/bitwarden.corp.devaine.cz/
mv DevaineRootCA-G2.crt /opt/bitwarden/bwdata/ssl/

# vygenerujeme dhparam
cd /opt/bitwarden/bwdata/ssl/
openssl dhparam -out ./dhparam.pem 4096
chmod 700 dhparam.pem

# nastavíme oprávnění
chown -R nobody:nogroup /opt/bitwarden/bwdata/ssl/
chown -R nobody:nogroup /opt/bitwarden/bwdata/ca-certificates/

A provedeme nastavení Bitwardenu, aby je akceptoval, tj. editujeme "/opt/bitwarden/bwdata/config.yml". Jen dodám, že cesty v konfiguračním souboru odpovídají cestám uvnitř dockeru a není to tedy omyl. Certifikáty máme reálně v "/opt/bitwarden/bwdata/ssl/bitwarden.corp.devaine.cz" a v dockeru jsou přístupný pod "/etc/ssl/bitwarden.corp.devaine.cz/", takže nastavení níže není omyl, tak to má být:

...
ssl_certificate_path: /etc/ssl/bitwarden.corp.devaine.cz/bitwarden.corp.devaine.cz.cer
ssl_certificate_path: /etc/ssl/bitwarden.corp.devaine.cz/bitwarden.corp.devaine.cz.pem
ssl_ca_path: /etc/ssl/DevaineRootCA-G2.crt
ssl_diffie_hellman_path: /etc/ssl/dhparam.pem
...

Následně upravíme globální proměnné "/opt/bitwarden/bwdata/env/global.override.env", kde si nadefinujeme mail server a pár věcí kolem:

globalSettings__baseServiceUri__vault=https://bitwarden.corp.devaine.cz
globalSettings__baseServiceUri__api=https://bitwarden.corp.devaine.cz/api
globalSettings__baseServiceUri__identity=https://bitwarden.corp.devaine.cz/identity
globalSettings__baseServiceUri__admin=https://bitwarden.corp.devaine.cz/admin
globalSettings__baseServiceUri__notifications=https://bitwarden.corp.devaine.cz/notifications
globalSettings__baseServiceUri__sso=https://bitwarden.corp.devaine.cz/sso
globalSettings__baseServiceUri__portal=https://bitwarden.corp.devaine.cz/portal
globalSettings__sqlServer__connectionString="Data Source=tcp:mssql,1433;Initial Catalog=vault;Persist Security Info=False;User ID=sa;Password=*************;MultipleActiveResultSets=False;Connect Timeout=30;Encrypt=True;TrustServerCertificate=True"
globalSettings__identityServer__certificatePassword=***************
globalSettings__attachment__baseDirectory=/etc/bitwarden/core/attachments
globalSettings__attachment__baseUrl=https://bitwarden.corp.devaine.cz/attachments
globalSettings__send__baseDirectory=/etc/bitwarden/core/attachments/send
globalSettings__send__baseUrl=https://bitwarden.corp.devaine.cz/attachments/send
globalSettings__dataProtection__directory=/etc/bitwarden/core/aspnet-dataprotection
globalSettings__logDirectory=/etc/bitwarden/logs
globalSettings__logRollBySizeLimit=
globalSettings__syslog__destination=
globalSettings__licenseDirectory=/etc/bitwarden/core/licenses
globalSettings__internalIdentityKey=************
globalSettings__oidcIdentityClientKey=*************
globalSettings__duo__aKey=*************
globalSettings__installation__id=***************
globalSettings__installation__key=***************
globalSettings__yubico__clientId=REPLACE
globalSettings__yubico__key=REPLACE
globalSettings__mail__replyToEmail=bitwarden-noreply@.devaine.cz
globalSettings__mail__smtp__host=mail.corp.devaine.cz
globalSettings__mail__smtp__port=25  
globalSettings__mail__smtp__ssl=false
globalSettings__mail__smtp__username=REPLACE
globalSettings__mail__smtp__password=REPLACE
globalSettings__disableUserRegistration=true 
globalSettings__hibpApiKey=REPLACE
adminSettings__admins=admin-bw@devaine.cz

Nyní už jen aplikujeme nastavení:

./bitwarden.sh rebuild
 _     _ _                         _            
| |__ (_) |___      ____ _ _ __ __| | ___ _ __  
| '_ \| | __\ \ /\ / / _` | '__/ _` |/ _ \ '_ \ 
| |_) | | |_ \ V  V / (_| | | | (_| |  __/ | | |
|_.__/|_|\__| \_/\_/ \__,_|_|  \__,_|\___|_| |_|

Open source password management solutions
Copyright 2015-2021, 8bit Solutions LLC
https://bitwarden.com, https://github.com/bitwarden

===================================================

bitwarden.sh version 1.39.4
Docker version 20.10.3, build 48d30b5
docker-compose version 1.25.3, build d4d1b42b

Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.

Building docker environment files.
Building docker environment override files.
Building nginx config.
Building FIDO U2F app id.
Building docker-compose.yml.

A následně už stačí jen nastartovat:

./bitwarden.sh start
 _     _ _                         _            
| |__ (_) |___      ____ _ _ __ __| | ___ _ __  
| '_ \| | __\ \ /\ / / _` | '__/ _` |/ _ \ '_ \ 
| |_) | | |_ \ V  V / (_| | | | (_| |  __/ | | |
|_.__/|_|\__| \_/\_/ \__,_|_|  \__,_|\___|_| |_|

Open source password management solutions
Copyright 2015-2021, 8bit Solutions LLC
https://bitwarden.com, https://github.com/bitwarden

===================================================

bitwarden.sh version 1.39.4
Docker version 20.10.3, build 48d30b5
docker-compose version 1.25.3, build d4d1b42b

Pulling mssql         ... done
Pulling web           ... done
Pulling attachments   ... done
Pulling api           ... done
Pulling identity      ... done
Pulling sso           ... done
Pulling admin         ... done
Pulling portal        ... done
Pulling icons         ... done
Pulling notifications ... done
Pulling events        ... done
Pulling nginx         ... done
Creating network "docker_default" with the default driver
Creating network "docker_public" with the default driver
Creating directory /opt/bitwarden/bwdata/core
Creating directory /opt/bitwarden/bwdata/core/attachments
Creating directory /opt/bitwarden/bwdata/logs
Creating directory /opt/bitwarden/bwdata/logs/admin
Creating directory /opt/bitwarden/bwdata/logs/api
Creating directory /opt/bitwarden/bwdata/logs/events
Creating directory /opt/bitwarden/bwdata/logs/icons
Creating directory /opt/bitwarden/bwdata/logs/identity
Creating directory /opt/bitwarden/bwdata/logs/mssql
Creating directory /opt/bitwarden/bwdata/logs/nginx
Creating directory /opt/bitwarden/bwdata/logs/notifications
Creating directory /opt/bitwarden/bwdata/logs/sso
Creating directory /opt/bitwarden/bwdata/logs/portal
Creating directory /opt/bitwarden/bwdata/mssql/backups
Creating directory /opt/bitwarden/bwdata/mssql/data
Creating bitwarden-api           ... done
Creating bitwarden-mssql         ... done
Creating bitwarden-events        ... done
Creating bitwarden-sso           ... done
Creating bitwarden-notifications ... done
Creating bitwarden-attachments   ... done
Creating bitwarden-icons         ... done
Creating bitwarden-web           ... done
Creating bitwarden-identity      ... done
Creating bitwarden-admin         ... done
Creating bitwarden-portal        ... done
Creating bitwarden-nginx         ... done
1.39.4: Pulling from bitwarden/setup
Digest: sha256:935729a074cd73d365167cbce019c657e85e57e99ff4c124560121952441d8a4
Status: Image is up to date for bitwarden/setup:1.39.4
docker.io/bitwarden/setup:1.39.4
Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.


Bitwarden is up and running!
===================================================

visit https://bitwarden.corp.devaine.cz
to update, run `./bitwarden.sh updateself` and then `./bitwarden.sh update`

Běžící kontejnery lze zkontrolovat takto:

docker ps
CONTAINER ID   IMAGE                            COMMAND            CREATED          STATUS                             PORTS                                                 NAMES
d0a3c9f39c45   bitwarden/nginx:1.39.4           "/entrypoint.sh"   10 seconds ago   Up 9 seconds (health: starting)    80/tcp, 0.0.0.0:80->8080/tcp, 0.0.0.0:443->8443/tcp   bitwarden-nginx
22a1102478de   bitwarden/portal:1.39.4          "/entrypoint.sh"   12 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-portal
641cd8e46706   bitwarden/admin:1.39.4           "/entrypoint.sh"   12 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-admin
74aff98e3f26   bitwarden/web:2.18.1             "/entrypoint.sh"   14 seconds ago   Up 12 seconds (health: starting)                                                         bitwarden-web
64fda2b72673   bitwarden/events:1.39.4          "/entrypoint.sh"   14 seconds ago   Up 11 seconds (health: starting)   5000/tcp                                              bitwarden-events
734b25a0095b   bitwarden/identity:1.39.4        "/entrypoint.sh"   14 seconds ago   Up 11 seconds (health: starting)   5000/tcp                                              bitwarden-identity
beb28467aa5e   bitwarden/icons:1.39.4           "/entrypoint.sh"   14 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-icons
41f1ab6e6dfd   bitwarden/notifications:1.39.4   "/entrypoint.sh"   14 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-notifications
629153b357c3   bitwarden/sso:1.39.4             "/entrypoint.sh"   14 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-sso
57b8a66f8434   bitwarden/api:1.39.4             "/entrypoint.sh"   14 seconds ago   Up 10 seconds (health: starting)   5000/tcp                                              bitwarden-api
85e71c7aef23   bitwarden/mssql:1.39.4           "/entrypoint.sh"   14 seconds ago   Up 12 seconds (health: starting)                                                         bitwarden-mssql
65813f7d917b   bitwarden/attachments:1.39.4     "/entrypoint.sh"   14 seconds ago   Up 12 seconds (health: starting)                                                         bitwarden-attachments

Pokud tedy vše dopadlo dobře, tak byste měli vidět přístupný web interface, kde si můžete zaregistrovat účet a fungovat:

https://bitwarden.corp.devaine.cz

Licenční soubor stažený z online účtu si pak nahrajete do tohoto lokálního bitwardenu a tím se vám licence aktivuje. Uživatel, pod kterým si klíč naimportujete, bude správcem organizace. Měl by to mít tedy pod svým účtem šéf týmu, nebo někdo zodpovědný, protože šéf organizace pak ovládá práva v rámci organizace a dokáže tedy vidět všechny hesla v rámci organizace. Každý uživatel má pak i svůj vlastní privátní prostor, který nejde nijak sdílet a nikdo se do něj nedostane, jen ten samotný uživatel.

Administrační rozhraní

Výše se v souboru "global.override.env" definoval "adminSettings__admins=admin-bw@devaine.cz". Je to definice emailové adresy, přes kterou se lze dostat do administrace. Funguje to tak, že si otevřeme adresu "https://bitwarden.corp.devaine.cz/admin", tam zadáme emailovou adresu, která odpovídá té definované v "adminSettings__admins". Následně na tu adresu přijde email s vygenerovaným jednorázovým tokenem. Ťuknutím na odkaz z mailu se tedy automaticky přihlásíte. V Admin rozhraní pak můžete vidět účty, částečně jejich nastavení, nastavení organizace, kdo je správcem licence a můžete účty mazat. Nic víc. K datům se nedostanete. Slouží to tedy čistě pro to, že když někdo zapomene heslo, tak tady přes toto rozhraní ho smáznete, on přijde o svůj privátní prostor (jeho blbost, nemá zapomínat heslo) a nebudou vám tam viset mrtvé účty.

Všechny funkce zadarmo, nic neplatit

Jsou zde dvě možnosti, jak obechcat licenční politiku, mít všechny fce zadarmo.

BitBetter

Tento projekt je na githubu. V kostce dělá to, že v lokálním Bitwardenu vymění klíč za váš vlastní, který se stará o párování licence. Pak si můžete vygenerovat vlastní licenci a zaregistrovat si jí v lokálním Bitwardenu. Licenci si můžete vygenerovat jakoukoli, takže pak můžete mít dostupné všechny fce. Je to trochu nečisté a sám autor to i říká a nabádá, aby ten, kdo to použije, si koupil u Bitwardenu aspoň nějakou licenci, aby jim aspoň trochu přispěl.

vaultwarden (původně bitwarden_rs)

Jedná se o projekt, který je plně OSS a je taktéž na githubu. Tento projekt je zajímavý tím, že je to reimplementace originálního serverového api. Týpek to píše v Rust, neřeší licence, prostě jsou dostupné všechny fce, co implementuje. Výhodou je podpora mysql, postgresql, sqlite a celkově je celé řešení nenáročné na hw. Problém je, že kód nebude asi tak "safe" jako původní implementace, resp. možná bych si to pro sebe na privát nasadil, ale do firmy ne. V tomto osobně raději věřím, že autor původního Bitwardenu dělá opravdu audity kódu a penetrační testy tak, jak prezentuje.

Závěr

Bitwarden má opravdu hodně fcí, tváří se opravdu hodně bezpečně a spousta lidí si ho chválí. Musím říci, že i já s ním mám velmi kladné zkušenosti a v OSS světě asi nemá konkurenci.

Zdar Max

       

Anketa

Komentáře

[Petr Fiedler]

Super zápis, díky.

[panika]

bitwarden-rs uz asi tri mesice. nabidl jsem kolegum i pratelum. zatim nevidim zadne nevyhody. zajimalo by me jestli nekoho napada proc bitwarden-rs nepouzivat?

[_]

a proc pouzivat?

[xxx]

Tohle taky nechápu. Až se jednou správce hesel posere nebo do něj ztratím přístup, bude to totální katastrofa. A to vše jen kvůli lenosti.

[Max]

Je to úplně stejný příklad, jako by jsi ztratil heslo ke KeePass nebo k zašifrovanému dokumentu. Jaký pak je v tom rozdíl?
A i když by se pw manager posral, tak mám stále zálohy, ne? Stále v těchto argumentech nechápu, rozdíl oproti jiným řešením.
Zdar Max

[xxx]

Rozdíl je v tom, že jsou všechny vejce v jednom košíku. KeePass je stejná hovadina.

[Josef Kufner]

Je to jedno místo, které může selhat. To může být drobné nepohodlí, například obnova hesla e-mailem, nebo také velký problém, kdy se prostě nejde přihlásit ke kritické službě.

Je to však potřeba porovnat s ostatními možnostmi. Pak už to najednou není zas tak špatný nápad. Pamatovat si hesla k mnoha službám prakticky nejde. Mít všude stejné heslo je velký bezpečnostní problém. Mít několik málo hesel je o něco lepší, ale pořád riskantní. Pokud je heslo k nějakému zařízení, kde nejde nastavit více účtů, tak ani nejde mít stejné heslo jako jinde. Takže nakonec je nejlepší mít důvěryhodné úložiště hesel a všude používat náhodná hesla s výjimkou e-mailu a pár obdobně klíčových věcí, které si člověk prostě bude pamatovat.

[_]

Pamatovat si hesla k mnoha službám prakticky nejde.

Samozřejmě že jde, dělám to tak celý život. Bonus: trénováním paměti se snižuje riziko pozdější demence.

Btw, správce hesel je naprosto nekompatibilní se situací, kdy se najednou potřebuji někam přihlásit z cizího počítače, třeba na cestách, nebo třeba z mobilu, odkud se obvykle skoro nikam nepřihlašuji. A takové situace považuji za zcela běžné.

A nebo sitiuace sice zatím hypotetická, ale která rozhodně může nastat. Ležím například v nemocnici a chci po někom, aby se někam přihlásil mým účtem. Fakt mu při takové příležitosti nechci dát přístup všude, ale jen tam, kam chci.

[Max]

Jop, o tom jsem také někde slyšel. Prý na eliminaci demence i pomáhá se učit další jazyk.
Jinak hypotetický problém je, že ležíš v nemocnic po klepanci do hlavy a hesla/klíč pro jejich kombinaci se ti vykouří :). Něco podobného se stalo strejcovi, když zkolaboval s ledvinama. Poté, co se probral v nemocnici, si nepamatoval nikam hesla a měl výpadky. Do hlavy se nebouchnul. Prostě menší příhoda, která nemusí ani přímo souviset s hlavou, a je problém.
Zdar Max

[Josef Kufner]

Na trénování mozku jsou užitečnější věci.

[marbu]

Samozřejmě že jde, dělám to tak celý život. Bonus: trénováním paměti se snižuje riziko pozdější demence.

I v případě používání správců hesel stejně skončíš s tím, že si budeš muset pár hesel pamatovat. Ale budou to jednotky nebo malé desítky, nikoli stovky. Nedokážu si představit, že si budu pamatovat několik stovek hesel jako x~S3#_5?fwY<^`wLPn"/zcFcc#8yst nebo passfrází o mnoho slovech.

Btw, správce hesel je naprosto nekompatibilní se situací, kdy se najednou potřebuji někam přihlásit z cizího počítače, třeba na cestách, nebo třeba z mobilu, odkud se obvykle skoro nikam nepřihlašuji. A takové situace považuji za zcela běžné.

Tohle je nejlepší řešit kombinací zapamatování takto kritického hesla v kombinaci s 2. faktorem (např. OTP aplikací nebo hw tokenem). Případně si můžu pro taková hesla zadat do správce hesel na mobilu (osobně už ale tohle nedělám).

[Bystroushaak]

Můžeš si vymyslet nějakou hashovací funkci, kterou to heslo zkonstruuješ. Například co já vím, md5(base64(doména) + salt). Ale teda osobně taky používám Bitwarden.

[Gréta]

správce hesel je víc lepšejší potože co vůůůbec nemáš skovaný vhlavě prostě taky jako nikdy nevykecáš :D ;D

[Chulda]

stalo se mi, že jsem z ničeho nic zapomněl PIN ke kartě. Něco, co jsem používal skoro denně. A už jsem si nevzpomněl.

Tolik k procvičování paměti s pomocí hesel/pinu

[_]

btw, velká část účtů by klidně mohla být veřejná (jinými slovy přihlašování je tam zcela zbytečné, jen proto, že si to tak webmaster nastavil) - takové účty klidně mohou sdílet jednoduché heslo, např. jméno manželky

[j]

Proc myslis, ze vsichni pouzivaji 123456 ...

Trebas u tech retardu z vmware takhle mam uz nejmin 30 uctu ... ne proto ze bych zapomel heslo, ale proto, ze zapomenu ten ucet ;D.

---

Dete s tim guuglem dopice!

[Heron]

Jo, tenhle problém mám taky. Na každou pičovinu se chce registrace, tak tam vždycky vložím nějaký náhodný účet a potom nevím, kterej to je

[marbu]

Můžeš si vytvořit několik nezávyslých password databází, provozovat je na různých zařízeních a normálně je zálohovat.

[Petr]

Což dá víc práce, než si hesla normálně zapamatovat :)

Možná mám fenomenální paměť, ale správce hesel řeší problém, který nemám.

[marbu]

Což dá víc práce, než si hesla normálně zapamatovat :)

Nejvíce práce mi dal samotný přechod na správce hesel, ale pak je zvýšení efektivity a snížení bordelu obrovské.

[kralyk z abclinuxu]

Pokud nemáš opravdu výjimečnou paměť a/nebo velmi dobrý trénink, té úrovně jako se správcem hesel není šance dosáhnout. Takoví lidé jsou, neříkám že ne (bývají k vidění např. na blindsolving soutěžích), ale pravděpodobnost není na straně lidí, kteří tvrdí, že si pamatují dostatečné množství dostatečně bezpečných hesel...

[freshmouse]

klasicke kralykovske kecy

[Petr]

Používám bitwarden v jejich cloudu. Platím jim tu nejlevnější variantu (asi 10 euro za rok), abych je podpořil, ale stačili by mi i funkce zadarmo. Přijde mi to jednodušší, spolehlivější a asi i bezpečnější než keepas + sync přes domácí synology, co jsem měl předtím. Hlavní důvod přechodu byl, že jsem chtěl přesvědčit lidi v okolí ať používají správce hesel, tak mi nezbylo než jim navrhnout něco bezpečného a zároveň rychlého na setup. Z mainstreamových cloudových služeb je asi jediný OSS.

[Ruža Becelin]

Problém je, že kód nebude asi tak "safe" jako původní implementace

Nejaka podpora pro tohle tvrzeni? O Bitwardenu uvazuji jako nahrade sdileneho KeePassXC a dost se me libi bitwarden_rs, ani ne tak kvuli tomu, ze to je zadarmo ($5 mesicne me nezabije), ale se se vyhnu tem MS srajdam...

[Max]

Jak jsem napsal, raději věřím bezpečnostním auditům a jejich bug bounty programu, než věřit, že tu Rust alternativu někdo další zkouknul. Pravidelně si děláme ve firmě penetrační testy a už se stalo, že byly u velkého hráče nalezeny třeba 4 security chyby, které uznal a opravil.
Takže pokud mám na rozmyšlenou, tak do firmy jednoznačně placenou verzi. Do privátu bych si asi použil tu Rustovou implementaci (hlavně kvůli malé náročnosti).
Zdar Max

[Ruža Becelin]

Tohle chapu, na druhou stranu, pokud sleduji aktivity serveru a nebehaji mi data do/z internetu, popr.mi netezi kryptoshit, tak by to melo byt OK? Resp.by si toho asi nekdo vsiml?

Klientske strane je jedno, jestli se bavi s oficialnim serverem, nebo neoficialnim, takze funcionalita musi byt logicky stejna, tj. na server jdou pouze zasifrovana data.

To jejich komercni reseni zase stoji (a pada) na MS Azure, takze tam to taky bude o retezu duvery.

Vim, ze nekteri klienti maji pozadavky na X certifikaci, nez neco vubec pusti do site. Jenze to je jen papir, GDPR se legalne obchazi tak, ze se clovek niceho nedomuze a EU-US Privacy Shield? OMG....

[Max]

Těžko říci, jak kdo podrobně sleduje aktivity a jak je analyzuje. Pokud máš něco vystrčenýho ven do netu, tak těch aktivit tam máš tuny. Na rozumnou analýzu pak musíš použít i nástroje k tomu určené, aby jsi se v tom neutopil. A pak je otázka, zda jsi opravdu schopný v tom něco nekalého odhalit.
Zdar Max

[j]

Chmm ... to jo, to bude bezpecnost sama ...

Specielne MSSQL a .NET ... ani jedno z toho bydefault nepouziva ani TLS 1.2 a to vubec, ani v pozici serveru ani v pozici klienta. O 1.3 to ani neslyselo. Zato to vpohode pouzije 1.0 ... soudruzi v M$ se jeste nerozmysleli, jestli je to dostatecne deravy.

---

Dete s tim guuglem dopice!

[Max]

Asi děláš někde chybu ty. .NET Core podporuje TLS1.3 od verze asi 3.0 a od nějaké verze 5 by se měla používat jako default. Pokud jde o MSSQL, tak podpora TLS1.2 je od verze 2008, resp, mu asi byla dodána nějakým patchem, pak tedy záleží, jak si to kdo nastaví. Je to možná vázáno i na verzi OS, tzn. , že pokud budeš MSSQL 2008 provozovat třeba na Windows Server 2003, tak asi TLS1.2 nebude podporovaný, ale těžko říci, jak to mají, nestudoval jsem to podrobně.
Zdar Max

[Heron]

Používám pass. Nevyžaduje to ani MSSQL, ani MS .Net, funguje to nad GPG, šifruje to soubory standardním osobním klíčem a není nutné k tomu psát x stránkový návod na zprovoznění.

[Max]

Myslím, že tohle řešení už jsem také někde viděl, možná jsem o něm četl tady na abc a možná i od tebe.
Zdar Max

[Heron]

Tak ten komentář mířil hlavně tam, že pokud má někdo 400 hesel, a ještě navíc je potřebuje sdílet s kolegy, tak to má vést k zamyšlení, jestli to nejde řešit jinak a lépe.

Namísto toho se tento nepořádek strčí do programu s hromadou featur.

Potom se zjistí, že tento program už je sám o sobě nepořádek, tak se strčí do 12 kontejnerů, protože v jednom balíčku už se to snad ani distribuovat nedá (proto by se třeba přišlo na to, že v linuxových distribucích není balíček mssql a .net). Až těch kontejnerů bude 50, tak se bude řešit jak řešit distribuci hromadu nepořádku kontejnerů.

Ale to jen tak.

Jinak o passu jsem nikdy nic nepsal, možná někde jen nějaký komentář. Znám to roky od lzapa, který o tom kdysi něco k sobě napsal.

[marbu]

Tak ten komentář mířil hlavně tam, že pokud má někdo 400 hesel, a ještě navíc je potřebuje sdílet s kolegy, tak to má vést k zamyšlení, jestli to nejde řešit jinak a lépe.

To mě zarazilo taky. Pro osobní účty používám keepassxc, a i když mám i pracovní keepassx databázi, sdílených hesel tam mám minimum. Záleží k čemu je třeba mezi kolegy sdílet přístup, ale větší smysl mi dává použít nějaké SSO řešení, ssh klíče nebo vytvoření samostatných účtů. Na druhou stranu, přes centrální správce hesel by šla vynucovat politika hesel na úrovni celé firmy, ale nejsem si jistý, jak moc by něco takového bylo přínosné. Jinak samosebou nasazení Bitwardenu je pořád lepší, než když by se problém s hesly neřešil vůbec.

[Max]

Na vynucování politiky hesel tu je IDM apod. věci.
Pokud jde o to, co sdílet, tak se bavíme třeba o přístupech na různé helpdeskové systémy a support portály třetích stran, eshopy, síťové prvky, tiskárny, core pw pro různé úrovně různých serverů apod. Ve finále těch přístupových údajů jsou stovky. Jasně, co jde, že řeší se vlastním správcovským účtem admina, nebo vlastním certifikátem, ale jsou případy, kdy to tak nelze, nebo kdy je potřeba zabezpečeně sdílet nějaký core přístup (mastaer domain account, lokální root do systémů, který se použije jen když vše selže atd.). Jsou to jen příklady kapky v moři.
Zdar Max

[marbu]

Btw on je v praxi problém nechat vytvořit pro firmu několik helpdesk/eshop uživatelských účtů? Chápal bych to u malých firem, ale u větších dodavatelů bych čekal, že s identity managementem nebude problém. Jinak ale jako chápu, že to ve speciálních případech nejde.

[Max]

Jak to řeší problém uchovávání hesel? budeš mít 20 přístupů do 20 různých portálů, a protože nechceš použít správce hesel, tak v každém systému vytvoříš 5 dalších účtů, které předáš kolegům a co dál? Přinejlepším si každý nainstaluje lokálně keepass. Reálně to budou mít v excelu na ploše. To má být nějaké řešení? A pokud jde o eshopy, tak ještě třeba zmínit, že některé eshopy nedovolují registraci stejného ICO k více účtům. Nebo neumožňují měnit fakturaci, takže pokud děláš nákupy pro dceřinky, tak pak do jednoho eshopu musíš mít třeba 4 účty.
Zdar Max

[marbu]

Myslel jsem tím pouze omezení sdílených hesel na externí služby s tím, že by měl pak každý heslo lokálně v keepass. Ale uznávám, že spravovat centrálně sdílená hesla dává v praxi docela dobrý smysl.

[Max]

No, těžko lze něco řešit lépe, pokud to není umožněno, což není. Můžeš používat nebo si napsat script na orchestrování správy přístupů do switchů a jiných prvků, ale přinese to reálně nějaké zlepšení? Ne, stejně tam budeš mít nějaký root pw a to by jsi měl sdílet se svým zástupem.
A teď si vem, že máš stovky druhů zařízení a služeb, kde buď nemůžeš mít jednotné hlavní heslo, nebo nechceš kvůli diverzifikaci.
Jak píši níže, přístupy na servery vyřešíš certifikáty a orchestrací klíčů (je jedno, zda přes ansible , nebo vlastními skripty), ale stále tam máš toho roota, který ti slouží jako fallback v případě, že vše ostatní selže a potřebuješ se připojit lokálně. To samé windows mají nějakého hlavního admina. Pak máš x služeb, které mají hlavního admina. Pak máš support portály pro různá zařízení a správu licencí apod., kam máš většinou jeden přístup. Pak někde nakupuješ věci do firmy pro asap, takže přístupy do x eshopů. A tak to postupně roste. Nevím, jak se tomu vyhnout (procesně ani technicky), než tak, že nasadím pw manager, který mi usnadní třídění a správu.
A věz, že ty příklady byly kapka v moři, těch věcí, co vyžaduje nějaký přístup a nejde napojit na něco centrálního (nebo je to napojení z hlediska bezpečnosti nežádoucí) je celkem dost.
Zdar Max

[Josef Kufner]

Tak, tak. Ono se to nezdá, ale náhodná hesla a rozumný správce hesel řeší spousty drobných otravných problémů a to při zachování dobré bezpečnosti.

[Heron]

No, těžko lze něco řešit lépe, pokud to není umožněno, což není.

Ono to samo není umožněno, nebo to někdo neumožnil?

A teď si vem, že máš stovky druhů zařízení a služeb, kde buď nemůžeš mít jednotné hlavní heslo, nebo nechceš kvůli diverzifikaci.

A nebo se použije takové řešení, kde nejsou stovky (druhů) zařízení nebo jsou to zařízení, která umožní jiné přihlašování (nebo obecně administraci).

Jak píši níže, přístupy na servery vyřešíš certifikáty a orchestrací klíčů (je jedno, zda přes ansible , nebo vlastními skripty), ale stále tam máš toho roota, který ti slouží jako fallback v případě, že vše ostatní selže a potřebuješ se připojit lokálně.

Jako možná je to pohodlnost, ale já už si roky odvykl používat heslo roota. Když bylo nejhůř, tak jsem si jej prostě změnil v single režimu. Samozřejmě, heslo roota lze někam napsat, proti tomu nic nemám.

Nevím, jak se tomu vyhnout (procesně ani technicky), než tak, že nasadím pw manager, který mi usnadní třídění a správu.

To je právě to zakrytí bordelu. Vyhnout se tomu lze tak, že nebudou stovky (druhů) zařízení.

Jako toto je spíše psychologická otázka, sám se snažím o minimální instalace čehokoliv, ale když vidím, jak firmy o 40 lidech interně používají 80 systémů z toho některé "se migrují" a to už 2x a stále jim běží stará verze, přechodná verze a nová verze, tak je to skutečně na zamyšlení. To zamyšlení by vedlo k tomu, že je možná užitečných tak 15 systémů a skutečně nezbytných tak 5.

A věz, že ty příklady byly kapka v moři

Mě je to jedno

[kralyk z abclinuxu]

TL;DR "Děláte to celé blbě a máte tam bordel".

[Max]

Máme na to asi jiný pohled, protože zastáváme jiné fce. Tiskárny se nevybírají podle toho, jak dobře umí správu hesel správce, ale podle toho, jak jsou spolehlivé a jak nízké náklady na tisk mají.
A podobně je to u jiných zařízení.
Nebo jak by jsi řešil přístupy do 3rd portálů jako helpdesky, správy licencí apod. Kde když koupíš řešení, dostaneš účet a hotovo. Pak máš přístup k updatům apod. Nebo jak by jsi systémově řešil přístupy do různých eshopů? A jak říkám, jsou to kapky v moři. Pokud spravuješ linuxové os, tak tohle asi neřešíš, jen si orchestruješ klíče a máš vyřešeno. To mám také, ale pak tu mám 100 různých služeb, který mají různé přístupy k různým věcem a správa / sync účtů není rozhodně nic jednotného.

Tvůj přístup je samozřejmě plně ok, ale aplikovatelný je v omezené míře a člověk nesmí hledět na cenu věcí (= pokud si chci orchestrovat přístupy na switche, tak např. switch bez podpory ssh jaksi nechci).
Zdar Max

[Heron]

Máme na to asi jiný pohled

No to nepochybně.

ale podle toho, jak jsou spolehlivé a jak nízké náklady na tisk mají

To je sice moc hezké, ale potom nikdo nepočítá ty desítky hodin, které s tím někdo stráví.

Nebo jak by jsi řešil přístupy do 3rd portálů jako helpdesky, správy licencí apod.

Nevím, já jsem nikdy žádný helpdesk nepotřeboval. Když jsme volali na DELL k vůli problémům s polem, tak první co je zajímalo bylo doplatit servisní poplatky právě za helpdesk, potom nám poslali update dvd, které se mělo nechat projíždět tak dlouho, až to postupně updatovalo všechno (kolega v serverovně strávil několik hodin) a problém to stejně nevyřešilo. Tolik k helpdesku všeho druhu. Ano, možná kdybychom jim platili milion měsíčně, tak by možná udělali něco víc, než obecný update firmware (na naše náklady). Jenže za milion už bychom si stejně stavěli vlastní řešení, což jsme ostatně dělali i tak a bylo to levnější, než celá serviska pro dell.

správy licencí

Neznám tento výraz pro oss.

Nebo jak by jsi systémově řešil přístupy do různých eshopů?

Tak přístup do eshopu nemusí mít 400 lidí, stejně to prochází schválením. Takže buď eshop umí to, že naskládat do košíku to může kdokoliv a potom to někdo schválí a zaplatí (tj každý má svůj přístup a svou roli), nebo to stejně ve firmě řeší dva lidi a ti si to heslo mohou říct (a nebo opět, mají dva oddělené účty a platí se to na jednu fakturační adresu).

To mám také, ale pak tu mám 100 různých služeb, který mají různé přístupy k různým věcem a správa / sync účtů není rozhodně nic jednotného.

Jak už jsem psal asi vícekrát, každý máme svoje peklo.

a člověk nesmí hledět na cenu věcí

Cenu bych vůbec neviděl jako argument pro to, že když něco musí mít ssh, tak to bude zákonitě dražší, protože tohle prostě neplatí. Pokud nakoupím switche a routery dejme tomu od mikrotiku, tak tam mám ssh přístup úplně stejně, jako do domácího AP za 350Kč. Ve skutečnosti nejhorší přístup byl na všechny ty značkové switche od HP a Cisco, které vyžadovali prehistorickou verzi javy už ve chvíli jejich nákupu.

[Max]

Takže jednoduše řečeno, vystačíš si s klíčema na ssh, protože nepotřebuješ řešit přístupy jinam. A na základě svých zkušeností s menší diverzifikací odsuzuješ ostatní řešení.

To, co popisuješ s tiskárnou není vůbec pravda. Proč by na tom měl někdo trávit hodiny? Udělá se výběr a pak se jede značka/model. Pokud je potřeba více druhů, tak se udělá výběr a jedou se další. Vše se odvíjí od výpočtu TCO. Tiskárna se napojí na centrální tiskový systém a hotovo. Ale to samozřejmě nemá co dělat s lokálním admin heslem do tiskárny, které má různý formát u různých tiskáren. Některé povolují jen číselný login a heslo, jiné zase povolují speciální znaky, nkěteré zase nepovolují speciální znaky, některé umožňují změnu login name, jiné ne atd. Takže pak si musíš vést seznam tiskáren loginů a hesel. Normálně se to dá udržet v hlavě, ale pak je tu ta věc, že přijde někdo nový do teamu a budeš mu to předávat z hlavy? Ztráta času a tím i peněz.

Příklad s eshopem je také vtipný. Tam je to také hodně různorodé. Jsou eshopy, u kterých když si zaregistruješ IČO, tak ti nedovolí tohle IČO použít u jiného účtu. tím pádem jiným účetem nemůžeš nakupovat na firmu. Pak někde potřebuješ jet třeba věrnostní program, nebo chceš mít dostupnout historii objednávek (třeba už jen kvůli historii, nebo snazší reklamaci apod.) a těch případů, jak se k loginům eshopy staví, je celkem dost. A to samé k login name a heslu. Některé mají email, některé ti dovolí vlastní login name, jiné ti ho předgenerují a nedovolí změnit. Jak jinak tohle sdílet, když né přes nějaký pw manager?

Příklad s Mikrotikem pěkný, ale do té doby, než zjistíš, že pro něco prostě není vhodný a nedává to. Typickým příkladem je PoE. Koupíš si třeba HeX PoE Mikrotik a zjistíš, že některé modely třeba kamer nebo telefonů se chytají, jiné ani neškytnou, leda přes vynucený PoE. Pak třeba neumožňuje přepínání různých režimů PoE atd. Vyšší modely jsou v něčem lepší, ale stále mají své limity. Takže co, jasně, koupíš HP nebo Cisco za pár korun, co PoE zvládá na jedničku. Jinak Java applet v HPE jsem viděl naposledy asi před 10 lety, aktuální switche jedou vše bez pluginů a appletů.

Takže fakt ne. Nejde to prostě systémově nijak řešit, než rozumnější správou hesel. Jako fakt paráda, že nemusíš řešit licence ani nic dalšího, jedeš si to svoje jedno, ale ostatní takové štěstí nemají.
Zdar Max

[Heron]

Neodsuzuju, ale poukazuju na to, že možná není potřeba mít tolik (druhů) zařízení. Je to jiný styl myšlení. Někomu přijde normální mít na všechno tisíc služeb, někdo jiný se nad tím možná víc zamyslí nebo možná má přehled nebo možná prostě a jednoduše odmítne se na něčem takovém vůbec podílet. Je to v každém oboru. Relaxuju u těchto videí, kde někomu přišlo naprosto normální dát patch panel někam na trám do nepřístupného prostoru, po cestě několik splicerů a ještě pro jistotu změnit barvy kabelů. O amatérském poe rozřezáním UTP a připojení nějakých dvou drátů do zdroje ani nemluvím. A potom tomuto týpkovi to normální nepřijde a udělá to lépe.

Jsou eshopy

Věřím a co? To, že jsou některé eshopy, které to nesplňují ještě neznamená, že jsou takové všechny.

Pak někde potřebuješ jet třeba věrnostní program

Potřebuješ...

Příklad s Mikrotikem pěkný, ale do té doby, než zjistíš

Ano, každý hw má něco, ale byla řeč o ssh. Rozhodně neplatí, že co má ssh je dražší nebo levnější, než něco jiného.

ale ostatní takové štěstí nemají

Otrokářství bylo zrušeno už dávno. A jestli ti někdo stojí s pistolí u hlavy a nutí tě používat eshop s věrnostním programem, tak to nahlas na kriminálce. Jako na absurdní komentář absurdní reakce. Je zbytečné psát osobní komentáře, pokud se neznáme na osobní úrovni.

[Max]

Uváděl jsem jen příklady, jak to vypadá na poli eshopů. Můžeš použít samozřejmě jiné, ale nebudeš na té ceně nebo spolehlivosti. A samozřejmě nenakupuješ jen z jednoho eshopu, ale máš jich třeba 20, i více. Vybírat si eshopy podle toho, jaký ti umožňují dát login nebo správu účtu je úlet. Eshopy si člověk vybírá kvůli cenám, sortimentu a spolehlivosti.

Jak by jsi chtěl komplexně spravovat velkou firmu bez tisíce služeb? To prostě nejde. Účetní potřebují systém, personální potřebuje systém, firma potřebuje svůj systém, potřebuješ helpdesky, dms systém, řešení přístupů, řešení správy hw (servery, desktopy, switche, wifi, kamery, kamerové systému, dveřní systémy, alarmy, telefony a milion dalších věcí). Samozřejmě ti nikdo jeden model nebude prodávat 10 let, také by jsi rád prováděl nějaké upgrady, takže modelů kamer, telefonů apod. máš ve finále víc (někdy i vendoři, páč pro něco třeba potřebuješ kameru takové úrovně, kterou původní vendor nedělá). To samé pak lze aplikovat na jiná zařízení. K tomu musíš řešit bezpečnost (IDS filtry s sondy v síti, proxy servery, reverzní proxyny na ochranu služeb, ověřování hw, dhcp servery, vpn, dohled atd.). Protože je samozřejmě tlak na dostupnost, tak všechno aspoň 2x v režimu HA. Pak máš tolik věcí, že potřebuješ řešit lépe zálohy, takže hafec zálohovacích věcí a pojistek, máš tolik služeb, že musíš nasadit automatizaci správy (třeba ansible), máš tolik věcí a tolik požadavků na check, že musíš nasadit nějaký centrální logovací server, nad kterým budeš moci dělat nějaké analýzy a případně díky acl zpřístupnit část věcí devel teamu nebo support teamu. Pak přijde nový projekt, čas na DevOps, gitlab, kubernetes, dockery, CI/CD a věci s tím spojený.

Takže takhle vypadá reál. Čím je firma větší, tím je více požadavků, více nasazení, větší různorodost, kterou se člověk snaží minimalizovat, ale eliminovat nejde. Někdo to z velké části řeší outsourcingem, ale to ve finále jen řeší absenci zkušených lidí, co by to normálně zfoukli sami a mnohem rychleji.
Zdar Max

[Heron]

Takže takhle vypadá reál.

Dík, mě je totiž 6 let a vůbec nikdy jsem neměl přístup do 5 datacenter, nespravoval desítky HW serverů, neinstaloval stovky virtuálek a nespravoval tisíce služeb a nejezdil jsem k zákazníkům. Dík, žes mi to osvětlil

Reál vypadá tak, jak si ho kdo udělá. Jestli tě baví spravovat miliony služeb, klidně. Evidentně jo, nic proti. Ale to neznamená, že to tak musí vypadat. Nemusí.

[Max]

To nice nevypovídá. Pokud to byl jeden, dva druhy serverů/os a jeden dva druhy služeb, jen všechno vynásobeno 1000x, tak je to fakt nicneříkající.
Ale pokud říkáš, že spravovat firmu jde bez tisíců služeb, tak jak se to pak řeší? To se všechno tiskne, protože přece nebudeš spravovat dms systém? Nebo budeš mít 20x více lidí, protože přece nebudeš spravovat systém na vytěžování faktur? Nebo nebudeš spravovat informační systém, protože kdo umí s excelem, musí umět selecty do db, takže si vystačí jen s db klientem? Nebudeš spravovat kamerové systémy, protože máme sekuriťáky, co mohou nahrávat záznam na do telefonu? Nebudeš spravovat dveřní systémy, protože přece máme normální klíče? Nějak tomu nerozumím, jak se vyhnout správě tisíců služeb a nevrátit se do doby kamený.

Zatím jsi jen naznačil, že ty nemáš diverzifikovaný systém a nemáš 3rd nástroje, u kterých by jsi řešil licence. Tak jak se to tedy dělá?
Zdar Max

[Heron]

To se všechno tiskne, protože přece nebudeš spravovat dms systém?

Proč by se všechno mělo tisknout? A co je to vlastně to všechno? Jako argumentuješ úplně nesmyslně, já jednak neříkám, že firma nemá mít informační systém, ale to, že by ho třeba neměla vůbec neznamená, že to všechno musí dělat tím nejhorším způsobem, který tě zrovna napadne.

Nebo nebudeš spravovat informační systém, protože kdo umí s excelem, musí umět selecty do db, takže si vystačí jen s db klientem?

Já myslím, že můj komentář v nějaké debatě s Frantou jasně ukazuje, co si o excelu nebo o sql schopnostech běžných uživatelů myslím. V každé firmě jsme měli vlastní informační systém vyvinutý přesně podle potřeb firmy a podle mě je to to nejlepší řešení. Info roste s firmou, je tam přesně to, co je potřeba. Ohýbat cizí systémy většinou dopadá dost špatně - buď tam něco není a dává se to do jiných k tomu neurčených systémů nebo je s tím spojená až příliš velká byrokracie. Ale tohle se může lišit, lze narazit i na firmy, u kterých je interní info dost peklo.

Nebudeš spravovat kamerové systémy, protože máme sekuriťáky, co mohou nahrávat záznam na do telefonu?

Nejsem posedlý kamerama, ale ty sekuriťáky bych klidně před kamerou nechal projít fyzickými "testy" . PornHub promazal videa, je potřeba to doplnit.

Nebudeš spravovat dveřní systémy, protože přece máme normální klíče?

Nevím, co jsou "dveřní systémy" a je mi to jedno, ale trochu mi to připomnělo debatu o nových "zvonkách" v domě. Z výměny tabla kus za kus se vyklubal obousměrný dorozumívací systém s kamerou (protože všichni jsou posedlí kamerama). V tom se zjistilo, že nebude stačit kabeláž (kdo by to čekal, že), takže se natáhne nová. Jenže ani ta nestačí, protože je potřeba napájet všechny ty displaye v bytech a přenášet signál z kamery. Tak se na každé druhé patro dají zesilovače (upřímně řečeno nevím co to jako má být, protože kdyby se natáhla normální strukturka, tak není co řešit). Potom někdo přišel s tím, že tam chce kód / chip. Tak se vymyslel systém kódů. Když jsem se ptal, kdo to bude spravovat, tak jsem se dozvěděl, že já, protože jsem předseda (jak to souvisí nevím, ale je to univerzální výmluva členů). Takže to odkládám na až někdy, příští rok stejně končím a ať si to dělá kdo chce. Jestli chceš, můžeš nám spravovat "dveřní systém", jestli toho máš málo. A přesně tímto způsobem vzniká ten bordel v systémech. Sejde se sto lidí a každý z nich si vymyslí nějakou featuru, bez které se nedá žít. Což ale vůbec neznamená, že se musí implementovat.

Zatím jsi jen naznačil, že ty nemáš diverzifikovaný systém a nemáš 3rd nástroje, u kterých by jsi řešil licence.

Ne. Pochopil jsi to špatně. Já jsem jen naznačil, že nemusím mít licencovaný systém. A když nemám licencovaný systém, potom nemusím řešit licence a systém na správu licencí. Takže ptát se mě na to, jak bych řešil něco je dost nesmyslné, mojí myšlenkou je nemít tam věc, pro kterou musím řešit něco extra. Nebo jich tam mít co nejméně a ještě tak, aby tvořily co nejméně nějakých skupin, které lze potom spravovat naráz. A časem se jich zbavit.

[Max]

My máme také IS psaný na míru, ale to je IS pro potřeby firmy, těžko si budeš psát na míru účetnictví, mzdy, personalistiku, dms, vytěžování faktur, edi message server a milion dalších věcí.
Dveřní systémy jsou systémy na správu přístupů do jednotlivých částí objektu/dveří.

Argumentace stylem "vyberu si jeden z příkladů a ten nesmyslně zesměšním" je k čemu dobrá? Uvedu milion příkladů a ty si vybereš ten, kde je info o licencích s tím, že ty si nic takového nevybíráš a nemusíš tak řešit přístup na nějaký support portal. Minimálně vím o vmware, který jste měli a možná máte. Sice ho asi možná neřešíš/neřešil, ale je to i tak od tebe docela pokrytecký, když firma, ve které děláš, přecijen licence řeší.

Zdar Max

[Heron]

Minimálně vím o vmware, který jste měli a možná máte.

Tak předně, já už tam déle než rok nejsem. To jen pro info. Ano, měli jsme vmware, já jsem byl od začátku proti a nikdy jsem se o licence nestaral. Nakonec ani o ten vmware, to prostě kolega nainstaloval a já jsem tam hrnul ty své virtuálky.

ale je to i tak od tebe docela pokrytecký

Nemyslím si. Rozhodovali jsme se mezi kvm a vmware, v testech vyhrálo kvm, chtěli jsme to nasadit a někdo (podotýkám ne jednatel, ten má právo "bouchnout do stolu" vždy) prosadil vmware proti tehdejších technikům.

Není vůbec pokrytecké se nezajímat o něco, vůči čemu jsem předvedl více než dobrou alternativu. Jestli si někdo vybere řešení, které potom přináší vícepráce, tak je to jeho problém.

Ale bych odpověděl, tak celé řešení licencí vmware bylo o tom, že jsme to kupovali od dodavatele hw, takže stejný kontaktní člověk, jako pro hw. Není na tom co víc řešit.

[trekker.dk]

Takže jednoduše řečeno, vystačíš si s klíčema na ssh, protože nepotřebuješ řešit přístupy jinam. A na základě svých zkušeností s menší diverzifikací odsuzuješ ostatní řešení.

Heron v kostce

Vzdejte to, Heron má vždycky pravdu a pokud něco děláte jinak, než on si myslí, jak byste to měl dělat, tak to děláte blbě. Příkladem jsou asi tak čtyři předchozí diskuze, které jsem tu s ním (nejenom já) za poslední měsíc vedl.

[xxx]

Nevím, co jsou "dveřní systémy",...

No, rekl bych, ze uz to vis. Nicmene OT dotaz. To jste tam tak bohati, nebo uz to sem vali Cinan za levno nebo je to nejaka analogova vykopavka?

[Heron]

Nevím co znamená "tak bohatí", ale vychází to do 4tis na jeden byt. Což, kdybys poskládal z RPi, tak to vyjde dost podobně.

[j]

...

Kamery jsou pripojeny k appce a ta appka ma nejakou databazi, ve ktery je 20 uzivatelu, ktery sou opravneny s tim manipulovat (a je to tak dokonce i vyzadovany legislativou, naprosto neexistuje nejaky sdileni uctu, musi se evidovat kdo kdy a proc). Kamery samy vubec hesla nemaji (analog) nebo nepotrebuji, protoze jsou na oddeleny siti.

Dvere = databaze nejakych chipu, k databazi maji pristup ... vyjmenovane osoby a ty nastavuji opravneni napriklad k otevreni konkretnich dveri. Typicky spis nenastavujou nic, protoze kdyz nastoupi clovek, daji do ERPcka ID chipu, a podle toho jakou mu priradej pozici se mu samoserne nastavi kam muze.

Nejjednodussi system spravy licenci je sanon v regale, kam davas faktury za licence. Stejne nejsi schopen nijak jinak dolozit, ze je mas.

"kdyby se natáhla normální strukturka"

Musis si uvedomit, ze ti co tyhle systemy instalujou, zijou technologicky pred 30+ lety. Takze je to cely analogovy. Schvalne bez, z dej si pozadavek, ze chces IP kameru se sifrovanim (aspon tls 1.2) a ipv6 ... sem zvedav jestli budes potrebuvat druhou ruku na pocitani.

BTW: Neni to tak dlouho, co sme si vicemene spis pro tu rit, nechali nacenit chipovy otevirani dveri ... a dobre se posad. Za JEDNY dvere chteli 80k! Sem jim rek, ze za ty prachy si ty dvere necham vylozit zlatem a diamantama a jeste zbude na dvernika.

Pro zajimavost, ta elektricka zapadka co ji mas u kazdych dveri v panelacich, stoji asi petikilo, a ctecka co si pamatuje tisicovku chipu taky ...

---

Dete s tim guuglem dopice!

[Heron]

Typicky spis nenastavujou nic, protoze kdyz nastoupi clovek, daji do ERPcka ID chipu, a podle toho jakou mu priradej pozici se mu samoserne nastavi kam muze.

Jo, zrovna minulý týden jsem rozjížděl jednu čtečku a k nim karty a role, ovšem na místě, kde to má smysl. To panelák skutečně není.

a dobre se posad. Za JEDNY dvere chteli 80k!

Sedat si nemusím, nám za jedny dveře chtěli účtovat i 120tis. Jako mě tohle až tak netankuje, kolegové ve výboru se nad tím občas rozčilují, já jim vždy říkám, že je to jenom nabídka, kterou nemusíme ani číst. Prostě to ty firmy zkouší.

Pro zajimavost, ta elektricka zapadka co ji mas u kazdych dveri v panelacich, stoji asi petikilo,

Jo a už mě to nebaví vyměňovat. (Resp. vyměňoval jsem to asi 2x. )

Schvalne bez, z dej si pozadavek, ze chces IP kameru se sifrovanim (aspon tls 1.2) a ipv6 ... sem zvedav jestli budes potrebuvat druhou ruku na pocitani.

Raději ne. Mě stačí 3/4 roku patálií se střechařem.

Jako není mě potřeba poučovat o každé kravině, já jsem dělal "všechno", ale nevidím sebemenší důvod cokoliv z toho tahat do paneláku. Nebo kamkoliv jinam. Je málo vybraných míst, kde něco z toho má v jisté míře smysl, ale tj asi tak všechno.

[Max]

Podle mě se ty zámky relativně rychle ošoupají. A nejsou ani moc bezpečné. Tzn., že třeba pro vstupní dveře do objektu asi nejlépe řešit elektromechanickým zámkem s panikou, kdy dochází k jakoby zamčení dveří z pohledu z venku objektu, ale zároveň ze vnitř se člověk dostane ven bez odemykání (to je ta panika).
Ale je je to jen pohled laika, takže brát s rezervou.
Zdar Max

[Heron]

Já nevím, já nejsem posedlej tím, že se nikdo nesmí nikam dostat. Jasně, pokud se budeme bavit o provozech s jadernou nebo biologickou bezpečností, tak to je něco jiného. Jinak se stejně každý kdo chce dostane kam chce. Sám mám přístup na vodojem, do chemičky apod. Tam to bylo vůbec zajímavé, protože oficiální přístup je přes provozní laboratoře, což znamená otravovat vedoucího provozu (ale zase se člověk podívá na ty skleněný reaktory). Takže jsme tam lezli po stěně budovy po požárním žebříku, což pro mě bylo dost trauma, protože výšky fakt nemusím a kolmé stěny už vůbec ne. Takto jsem se dostal na každou střechu, kam jsem chtěl. Stačí zazvonit, říct hele, jdu tady něco dělat, potřebuju na střechu a jsi tam do půl hodiny spolehlivě. Takto jsem byl v x továrnách (aneb montérky jako plášť neviditelnosti).

Takže na jedné straně se řeší opruz pro zaměstnance, což je ve skutečnosti jen další hlídání docházky (ty karty, které jsem řešil minulý týden na jedné straně ulehčí práci a bezkontaktní přístup, což je důvod, proč se to dělalo, ale taky okamžitě někoho napadlo, jestli by ty logy nešly využít ještě k hlídání). Čím méně logů a sledování, tím lépe.

Jo, ošoupají se, proto bych je tam ani nedával

[Max]

No, já nevím, ale fakt nechceš, aby se ti po paneláku toulali neznámí lidi a různý fetky, co ti tam budou zanechávat jehly. Třeba naše dveře od paneláku jsou celý okousaný, oboje, i zadní, jak se někdo pajcrem občas zasnaží. Pro mnohé bylo jednodušší překonat okýnka do sklepa, aby ho vykradli, takže proto jich má čím dál tím více paneláků zamřížované. Je to tedy základní obrana proti těm vyfetlým zlodějíčkům a bezďákům, co chtějí vykrást sklep nebo obydlet schody. Nejsou to žádný jaderní fyzici ani zkušení lockpickingáři, takže je napadá jen hrubá síla.
Na tyhle to platí velmi účinně.
Zdar Max

[Heron]

co ti tam budou zanechávat jehly

Tak určitě...

Já řeším reálné problémy. Mám kumulativní zkušenost 14 let ze dvou domů (96 + 72 bj) a kromě roku 2015, kdy nenávist k "jiným lidem" vystoupala do maxima a pobláznění členové navrhovali kde co všechno, tak reálně se řeší úplně jiné věci, jako třeba nábytek na chodbách domů (což se nelíbí požárnímu revizákovi a vlastníkům se zase nelíbí to, že to mají odstranit).

Jehly, fetky, zlodějíčky, feťáky jsem nikdy neřešil a neznám z okolí předsedu, který by to řešil.

Ve skutečnosti jsem několikrát řešil podvodníky, kteří na letáku mají logo policie čr, zaštitují se souhlasem SVJ (který nemají) a kteří nabízejí lidem školení "bezpečnosti", tak akorát prodávají předražené nové bytové dveře. Už jsem je vyhnal 2x. Podomní prodej je zakázán, takže příště na ně rovnou zavolám tu policii, kterou se zaštiťují.

[Max]

Tak záleží asi na místě, kde bydlíš. Co jsem kde bydlel, tak v každém řešili vykradené sklepy a poškozené dveře. A co jsem kde v poslední době byl, tak mají všude do paneláků vstupní dveře zabezpečený. Buď na klíč, nebo na čip. V malým městě dřív mívali všichni odemčeno, teď si na noc rodinné domy také zamykají.
Odstínit (nebo jim to aspoň znesnadňovat) část podomního prodeje je pak další důvod.
Zdar Max

[Heron]

Vykradené sklepy a kolárky se řeší všude, ale záleží jen na poškozených, jak dalece to chtějí řešit oni sami. U nás se ztratila tři kola z kolárky, dva bezpečnostní zámky (mříž + dveře), klíče rozdávám jen proti podpisu (a oficiálně nejdou zkopírovat) a přesto se tam něco ztratilo. Ani jeden poškozený nevolal policii (a to máme příslušníka PČR v domě). Když to nechtějí řešit oni sami, tak proč bych měl já?

[_]

"oficiálně nejdou zkopírovat" jsou obvykle zkopírovat v každém druhém zámečnictví

[Heron]

No však právě proto je tam to slovo oficiálně. To že to jde zkopírovat skoro kdekoliv je jasné a v podstatě ta bezpečnostní karta je jen opruz pro poctivce. Další systém pro přidávání práce.

[j]

" (a to máme příslušníka PČR v domě)"

Tak to je jasny ne? ... ;D

BTW: Resils nekdy neco s vopicajtama? A presne proto to ty lidi neresej. Dobre vedi, ze kdyz to dopadne dobre, bude to jen dalsi ztrata casu a penez. V horsim pripade jeste toho zlodeje udelaji z nich. V nejhorsim pripade se prijde na to, ze to krade jejich soused (coz je tak jako tak jasny) a dotycnej ohlasovatel aby se pak radsi odstehoval.

---

Dete s tim guuglem dopice.

[Heron]

Tak to je jasny ne? ... ;D

Hehe, tak mě už nabízeli i práci na prezidiu, ale s mým přístupem k nadřízenejm by to asi moc dobře nedopadlo.

Resils nekdy neco s vopicajtama?

Já sám za sebe nikdy nic, ale policie mi x krát do roka volá při hledání nějaké podezřelé / pohřešované osoby (typicky domnělého nájemníka u nás v domě) a já jim pokaždé říkám, že nám vlastníci nájemníky nehlásí, takže to nevím.

[podlesh]

V malým městě dřív mívali všichni odemčeno, teď si na noc rodinné domy také zamykají.

?? Co je to "dřív" a "malé město"?

Co já pamatuju (80. a 90. léta), tak se vždycky zamykalo. Panelák jak kde (když před domem bylyuž jenom pozemky JZD, tak na to lidi docela dlabali), rodinné domky si ale každý zamykal velmi paranoidně.

Město cca 7k, v 4k totéž, menší města už snad ani nejsou.

[Max]

3k obyvatel, fakt ofiko město, 4k je to s přilehlými obcemi. Nevím, pamatuji si dobu, kdy se ještě nezamykalo a to jsem ještě mladý jinoch :).
Zdar Max

[K]

Co si pamatuju z periferie malého města (cca 4000 obyvatel), kde žila babička, tak v 80. letech se zamykalo, jen když se domek opouštěl na delší dobu, třeba babička jela na 14 dní do Prahy. V 90. letech, když už jsem ten dům zamykal já, tak jsem ho zamykal, jen když jsem šel pryč na celý den, rozhodně ne když jsem šel třeba na nákup. Nikdy jsme ten klíč netahali sebou, ale měl své místo v okapu :) Ostatně byl to sto let starý zámek na veliký klíč, který by asi šel triviálně lockpicknout kusem drátu. Před rokem 2000 jsme domek prodali, takže jak, kdy a jestli se to zhoršilo, netuším.

[Max]

Jo, tak přesně takhle si to pamatuji.
Zdar Max

[K]

V Praze na sídlišti teda takové problémy nemáme. Barák se nezamyká (jen zabouchává) a když se zámek zasekl, byly dveře asi půl roku volně průchozí. Nic se nestalo. Jen pes senilní sousedky chčije do výtahu, ale na to zamykání domu nemá vliv.

[j]

"(aneb montérky jako plášť neviditelnosti)."

To funguje naprosto epesne a naprosto vsude. Nepotrebujes na to ani nikoho znat ani se nicim prokazovat. Chces nejaky vetsi zobrazovadlo? Vem stafle, monterky a dojdi si na ruzyn odmontovat. Nikto ti nerekne vubec nic. Von i kdyz kolem tebe projde nejakej zamestnanec, tak si stejne rika, ze jeho to neni, tak co by to resil.

Funguje to ve skutecnosti mnohem lip, nez cokoli z toho co popisoval Mitnik.

BTW: Ad smirovani, smirovaci ve vsemoznych marketech aktualne uchcavaji blahem, protoze si milion idiotu zaplo na svych debilnich founech BT. Mam tu celej stos nabidek na tema rekneme vam, co zakaznici kupuji, u ceho v regalech se zastavuji ... a tohle vysavaji prave urcovanim polohy z BT. Existujou techniky, jak tobe konkretne zobrazit na regale jinou cenu nez komukoli jinymu. Navic pekne poskytujes to, co ten market bezne nema - UID, takze presne vi, co si kdy i historicky koupil atd atd.

Cim vic podobnych kramu u sebe nosis, tim samo lip, oscanovat se to da vsechno.

---

Dete s tim guuglem dopice!

[Max]

Ke kamerovému systému má samozřejmě každý svůj přístup, musí to být auditovatelný a každý pohled kamery musí být schválen odpovědnou osobou. Nicméně to, že máš kamery na oddělené vlaně, neznamená, že k nim nemusíš mít heslo, to by bylo proti bezpečnostním politikám. My tedy máme cam v uzavřené vlaně, ale také na nich máme heslo.

Pokud jde o příklad s licencema, tak např. koupíš si licence od GFI a dostaneš přístup na portál, kde si to spravuješ. Občas se stane, že novější verze programu vyžaduje novější verzi klíče, takže se přihlásíš přes web interface a vyklikáš si tam přegenerování licence na novější formát.

Pak máš třeba HPE a jejich support portál. Tam si musíš zaregistrovat servery, protože pokud to neuděláš, tak ti nedovolí stáhnout novější firmware, SPP a další věci. Dřív to šlo, teď ne. A opět, contract k více účtům neregneš. To samé vmware, máš tam účet, pod kterým máš zaregistrovány své licence a přes něj se dostaneš k patchům. Můj příklad tedy nebyl o uchovávání seznamu licencí, ale o přístupu na licenční portály jednotlivých firem, jejichž počet narůstá podle toho, jak roste firma a požadavky.

Pokud jde o dveřní systémy, tak záleží na požadavkách. Na panelákách máš většinou 125khz čtečky a čipy bez nějakého zabezpečení. Pak ale můžeš mít i 13,5MHz, kde není např. problém přiložit plnou peněženku a kartu si to najde. Nebo mít čtečku schovanou někde uvnitř sloupku a čtení karty se bez problémů propálí. Pak můžeš mít systém, který umožňuje mít šifrované karty (= jednoduše kartu nezkopíruješ, což u těch panelákových či jiných tipů uděláš dle libosti a namnožíš si čipy jak je libo). Pro příklad, 125khz čtečku seženeš za litra úplně v klidu, čipy pak jako korunové položky. Příklad ceny řešení pro 13,5MHz:

• řídící jednotka (tam, kam se napojí čtečky a jsou z ní i napájený, max dosah asi 150m), cena od 7000,-Kč/ks s tím, že každá jednotka umí připojit 4 čtečky nebo dvoje dveře (je podobný, někteří vendoři jsou dražší), řídící jednotky se spojují seriové za sebou s rs485 adresací
• samotná čtečka u dveří pak cca 2800,-Kč a více
• pak je potřeba zdroj, co bude tu jednotk, čtečky a zámky živit, takže 1400,-Kč
• elektronický zámek cca 450,-Kč
• nějaký stroj, který to pak bude řídit (bude tam sw, přes který se vše bude nastavovat a spravovat uživatelé/karty apod.)
• pokud to máš rozházený po lokalitách, tak řídící jednotky budeš potřebovat propojit né přes rs485, ale přes eth, takže převodník na eth za 4kkč na lokalitu.

K tomu je třeba připočítat práci, která bývá cca 1000,-Kč/instalace jedné komponenty, záleží samozřejmě na náročnosti + drobný instalační materiál.
Toto řešení jsem popsal jako universální, nezávislé na dodavateli, které si můžeš naladit sám, ale pořizovací cenou se těžko níž dostaneš.
Zdar Max

[xicht]

pass je dobre reseni, da se navic propojit s dmenu nebo pouzivat pres qtpass

[zito]

Také používám pass. Ralizujeme tak sdílení hesel. Lidi co se dělíme o ta hesla méme ve společném keyringu se vzájemnou důvěrou gpg klíčů...

[kralyk z abclinuxu]

Hezký zápisek. Jak jsou na tom rozšíření do prohlížeče, jsou dobře použitelné?

Podporuje Bitwarden Yubikey?

[Max]

Yubikey podporuje. Je třeba ale myslet na to, že zapnutím 2FA ti musí 2FA fungovat. Pokud se něco posere, nastává podobná situace jako se ztrátou hesla.
Doplňky do prohlížeče zatím nepoužívám, takže nemohu hodnotit.
Zdar Max

[kralyk z abclinuxu]

Od toho je dobrý mít dva yubikey (primární a záložní).

[Max]

Spíš jsem mluvil obecně.
Zdar Max

[Petr]

Rozšíření do prohlížeče funguje bez problémů. Nechybí mi žádná funkce. Jen na některých platebních branách to nevyplní správně kartu (nerozpozná pole pro datum platnosti). Ale nevím jestli je to chyba té brány nebo doplňku. Tu jejich aplikaci ani nepoužívám, mám jen doplňek. Stejně je to electron bazmek. Mají i řádkovou verzi klienta, ale tu jsem taky nezkoušel (zase škoda, že to je node).

[kralyk z abclinuxu]

Díky. Platební karta mě netrápí, jsem postížen tím, že jsem si ji opakovaným používáním zapamatoval včetně těch čísílek okolo jako datum, CVV a teď nově e-PIN nebo jak se to jmenuje...

[plostenka]

Heslo musi obsahovat malaVELKA, cislice, &@&#{, panenskou krev, delku aspon 10 znaku a hlavne se musi kazdych 90 dni menit. Jo a pro ultimatni bezpecnost se vsechny hesla nasdili do cloudu. ROFL.

[Heron]

Jo a pro ultimatni bezpecnost se vsechny hesla nasdili do cloudu. ROFL.

[Max]

Až na to, že článek není o cloudu, ale o provozu na vlastním řešení. A není o vynucování hesel a jejich politik, ale o uchovávání již současných.
Zdar Max

[plostenka]

Clanek je o tom, jak centralne evidovat a sdilet hesla mezi uzivateli, zabastlene v dockeru s web interfacem jeste ke vsemu nad MS technologiema. Tomu prece nemuzes duverovat.

[Max]

Tak jediný closed je tam ten db server. Vše ostatní je OSS. Až na tu db v tom problém nevidím.
Proč je to tak náročné a v milionu dockerech je jasné, je to jejich cloudová aplikace, kterou poskytují i pro on-premise, takže primárně jim šlo asi o to to mít u sebe jako službu a mít možnost to škálovat do aleluja.
Zdar Max

[kralyk z abclinuxu]

To máš marný, tady dostaneš street cred jedině za tradiční plně stavové dedikované servery, ruční instalaci masivních dependency grafů posvěcených balíčků a ruční editaci tisíců konfiguráků

[Max]

Ještě doplním, že kromě té MSSQL db tam není nic nestandardního. Mohlo by to teoreticky běžet na jednom serveru (nebo v jednom dockeru), ale mají to by default rozděleno, asi kvůli škálování.
Zdar Max

[otasomil]

Paradni zapisek se spoustou detailu. Nicmene provozovat neco podobneho pro ukladani hesel mi prijde jako kanon na vrabce. Vsechny hesla jsou stejne chranena zase jednim heslem ktery musi byt silny, obtizne zapamatovatelny... tak nakonec zase je nekde napsany na papirku... Hesla se predavaj pres schranku v systemu kterou lze pomerne snadno sledovat, ukladat jen s pravy aktualniho uzivatele... Takze v cem je to potom lepsi nez hesla v txt na pametovce nekde v trezoru. Papirove karticky vypadaj bezpecneji a operativne pouzitelne na kteremkoli zarizeni. Aby se clovek vyhnul kolizi s podobnyma znakama tak je proste vynechat:

cat /dev/urandom | tr -dc '2346789acefghjkmnprtuvwxyzACEFGHJKMNPRTUVWXYZ' | head -c 16

[Max]

Kanon na vrabce je to jen pro jednoho uživatele. Nějaký soubor s hesly se docela blbě sdílí a udržuje mezi více uživateli. Navíc nechceš sdílet všechna hesla, jen některá. Máš třeba ve firmě 5 teamů a chceš mezi nimi sdílet hesla tak, aby každý viděl jen to, co potřebuje. Zároveň tam nechceš mít duplicity (změnu chceš řešit na jednom místě). Dále chceš mít třeba přehled (audit log) kdo si kdy co vytáhl / k jakému heslo se kdo dostal. Držet historii změn apod. Někomu se pak hodí automatické doplňování do polí (nepoužívám) apod. Někdo potřebuje jednoduchý přístup přes mobil. Jak jsem psal v zápisku, pokud ti stačí zašifrovaný txt, ok. Pokud ti nestačí, jdeš do KeePass. Pokud nestačí ten, jdeš výš a výš až dojdeš k podobnému řešení.
Zdar Max

[otasomil]

Rozumim... jenze... prihlaseni do OS toto neresi, spousta enterprise aplikaci se spusti ve fullscreenu, casto schranka nefunguje takze zase nepouzitelne. Kazdy uzivatel jakekoli aplikace nebo OS ma mit svoje prihlasovaci udaje a ne aby si sdileli spolecne udaje. Chapu ze jsou firmy limitovany poplatky za licence pro usery ale bohuzel jediny spravny reseni je co user to password tecka takze zadny ze vice lidi se bude prihlasovat na jeden ucet, zde na Abclinuxu taky nedavame prihlaseni jinym aby za nas psali kommenty apod...

[Jendа]

prihlaseni do OS toto neresi

Ano, heslo do OS a k šifrovanému disku (kde je databáze password manageru) jsou jediná dvě hesla, která si musíš pamatovat.

spousta enterprise aplikaci se spusti ve fullscreenu

Uff, tohle jsem naštěstí nezažil. Pravděpodobně bych takovou aplikaci pouštěl ve virtuálu (protože to bude malware), takže v okně.

casto schranka nefunguje

Proto jsem si udělal klávesovou zkratku na následující skript:

slp=0.5
if [ $# -ge 1 ]; then
  slp=$1
fi
w="`xclip -out`"
sleep $slp; xdotool type --delay 40 "$w"

Díky tomu můžu „pastovat“ i když se mi v tom např. geniální webdesignér snaží bránit, nebo to technicky moc dobře nefunguje (virtuál bez guest additions, VNC na nepodporovaný server, management konzole serveru). (navíc mohu skriptu předat jako parametr delší pauzu, pokud někdo odchytává veškeré klávesové zkratky - zdravíme vývojáře medium.com - takže můžu spustit, přepnout se do té aplikace a ono se to tam za pár sekund napíše samo).

Chapu ze jsou firmy limitovany poplatky za licence pro usery ale bohuzel jediny spravny reseni je co user to password tecka takze zadny ze vice lidi se bude prihlasovat na jeden ucet

To prostě nejde když má firma jeden firemní účet na CZC/Alze/DHL/FedExu.

[Jendа]

DHL/FedExu

Teda, tady nějak účty asi spravovat jdou, ale je to takový pain (dělá se to přes lidský support), že to dělat nechcete. Alza a CZC to neumí vůbec.

[panika]

alza to umi, musis mit b2b ucet ale i pak to funguje divne - vsichni jeden kosik a treba odpovedi na dotazy chodi jen na hlavni ucet. prakticky to je dobry k tomu, kdyz posilas vyzvednout zbozi na fakturu/kredit, tak alzakovi ukazujou obcanku, kde musi mit stejny jmeno jako v alza uctu. nedavno jsem to vypisoval znamymu co pro ne dela, tak treba se to zmeni, doufejme k lepsimu :)

[Josef Kufner]

Ano, heslo do OS a k šifrovanému disku (kde je databáze password manageru) jsou jediná dvě hesla, která si musíš pamatovat.

Ještě třetí: k e-mailu.

[X]

Můžeš vysvětlit ten skript klikačovi? Díky

[kralyk z abclinuxu]

1. První 4 řádky jsou nastavení proměnný slp, buď z prvního parametru příkazový řádky, nebo default 0.5 (asi by se dalo zjednodušít na slp=${1:-0.5} jestli si dobře pamatuju syntaxi).
2. Na 5. řádku se vyčte text ze schránky, v podstatě Ctrl+V do proměnný w
3. Na 6. řádku se nejdříve pomocí sleep udělá časová pauza (délky slp) a pak se ten text ze schránky (proměnná w) pošle do simulátoru klávesnice (xdotool), takže efekt jako bys to ručně nacvakal na klávesnici.

[Max]

Ale on každý uživatel své údaje má. Ale když máš např. 5 adminů, tak těžko každému z nich vytvoříš 5 admin účtů na každé tiskárně, telefonu, kameře apod. pro správu (buď to tiskárny nepodporují, nebo se uklikáš k smrti, my máme třeba 200 tiskáren, různých modelů a vendorů, a to jsme jen u těch tiskárnách). Těžko to samé uděláš i na jiných věcech. Pak jsou tu master-passwords (lokální root, doménový správce), které jsou pro použití v nějakých omezených případech, které by také neměl znát jeden člověk, ale měl by tam být nějaký fallback v případě, že se s ním něco stane. A pokud provozuješ hodně systémů, tak takových hesel jsou tuny.
Zdar Max

[Aleš]

ja používám stickity na monitoru

[JiK]

jak vlastne uvnitr funguje to generovani a zapamatovavani hesel v google chrome? Funkcionalita je totiz podobna zminenemu password manageru...Z uzivatelskeho pohledu to funguje celkem perfektne, nemusim mit vsude stejne heslo, nahodne retezce mi to generuje, kdyz chci, etc...ale samosebou hesla jsou u big brothera googla, a mozna i plaintextove, mozna ne? Vi nekdo neco vic?

[Josef Kufner]

Je to prostě jen dobře integrovaný správce hesel. Dělá úplně to samé, co jakýkoliv jiný spravce hesel, jen to dobře funguje s webovýma stránkama a nemusíš nic nikam kopírovat.

[kolcon]

pouzivam passwords extension pro Nextcloud, i s klienty na iOS a plugin do firefoxu

[skunkOS]

Asi se zeptám jako debil, ale to nikdo nepoužívá třeba Firefox Sync? Není to bezpečné?

[kolcon]

Mel jsem, nahradil jsem prave tim nextcloud passwords, abych to mel na vlastni infrastrukture