分享基于 bitwarden 的自建密码管理方案

[mrchi]

Bitwarden 是一个开源的密码管理器解决方案，拥有多个平台的客户端。它采用的方式是云端数据库、客户端同步和离线使用的模式，类似现在的 1password 。

我的方案采用 bitwarden_rs + HTTPS + Fail2Ban + 坚果云备份的方式，可以参考这篇笔记 https://mrchi.cc/posts/88980/

说一下优点吧：

• 基于 bitwarden 开源项目，用 ruby 实现的 bitwarden_rs，相比闭源代码，更安全一些，并且支持 docker 部署；
• HTTPS 保证传输安全，我用的 lets encrypt 自动续签证书；
• Fail2Ban 保护 bitwarden_rs 服务和 SSH 服务，报错三次即 ban 掉 IP，防止暴力穷举主密码；
• 根据 bitwarden 的文档，服务端数据是加密后存储的，解密需要用户设置的主密码，即使服务端被攻破，密码不那么容易泄露；
• 官方开发维护的多平台客户端(包括 Win/Mac/Linux/iOS/Andriod)和常用浏览器扩展，美观和易用性上都有保证；
• 支持 TOTP 二次认证码保存；
• 使用坚果云备份（免费额度就够了），不备份也可以，任何一个客户端的数据都可以导出，服务重建后再导入。

再说一下缺点：

• 浏览器扩展，每次打开浏览器都要重新输入主密码；
• 密码生成器，不知道为什么，生成的密码比 1password 看着丑了很多，会有重复字符；
• 浏览器里对域名的匹配不够智能；

以上，笔记就是随手记了一下（懒～）欢迎提问。

[mrchi]

@wd 你说的有道理，但是也可能是觉得现在的实现足够安全吧，为了能同步和自动填充，我还是放一起了。

[mrchi]

@xiaoz 用的默认的，应该是 SQLite

[mrchi]

@v2lhr 费用就只有主机和域名的花销，HTTPS 证书免费，bitwarden 客户端免费，bitwarden_rs 开源不收费，坚果云使用的免费额度。

主机是国外的 vps，大概 30 刀；域名之前趁着 cc 域名便宜买了 10 年的，大概平均每年几块钱。总花费不到 220 RMB 。

如果自建麻烦也可以使用 bitwarden 的官方服务（相当于公有云）。

[NeoChen]

@mrchi #20 同步不麻烦，就是一个数据库文件而已，存 onedrive 、坚果云都可以。而且有许多客户端，比较好用的 keepassXC 吧，好看点的可以 keeweb，还可以有很多骚操作，比如通过 keepasshttp，让局域网里的其他电脑也能自动填写密码，比较方便的就是开虚拟机的时候就不用再安装一套客户端就可以方便的填密码登录帐号。
bitwarden 我记得浏览器插件不支持快捷键打开，不知道现在咋样了

[Tink]

sqlite 的话备份应该很方便，同步数据文件就行了吧

[cm2gseh]

buttercup+坚果云 的路过看看

[Unclev21x]

也想弄个同步的，但是觉得学习成本太高了。于是我这样搞的：1. 网银等重要密码写 txt 里面，然后使用 TrueCrypt 生成一个空白的大文件（可以是任何格式，比如 txt，pdf，bin 等等，可以把这个大文件想象成一个 U 盘，里面可以放其他文件），然后把 txt 放里面。然后设置一个打开密码，每次需要用到的时候，必须用 TrueCrypt 加载这个文件，输入密码。2. 非重要密码，直接保存在 chrome/safari 中了，能开启 2 步验证的网站都开启了。

不便之处：必须使用电脑，还要安装 TrueCrypt 文件。
安全性：不了解。自我安慰觉得可以。

我认为的优点：学习成本低。

[toptyloo]

@Biggoldfish 这个不是桌面 app 么，桌面 app 的话 mac 这边已经可以用 touch is 了，Windows 还没测试。浏览器插件都还没有支持

[bianqurenfm]

并不是每次打开浏览器都要重新输入主密码，Bitwarden 有提供记住主密码的功能只是不推荐，提示该操作容易忘记主密码

[mrchi]

@NeoChen 没有快捷键打开，但是可以快捷键填充

[fatelight]

浏览器扩展，每次打开浏览器都要重新输入主密码；

可以关闭的

设置 安全 密码库超时 从不

[CatCode]

@Unclev21x 你这个真的不如 Keepass/KeepassXC

[Unclev21x]

@CatCode 🤦‍这么多年也将就用下来了😂

[zyq2280539]

刚好最近也在弄这个密码管理，不过因为不太习惯用 docker, 参考了海运博客这个 https://www.haiyun.me/archives/1360.html

[ryanlid]

我也用了，用的是 MySQL，备份 MySQL 就好了~

[HankAviator]

@Unclev21x 很多像你一样的人采用了类似的方案，他们现在应该后悔的无以复加了吧。那些 U 盘 硬盘上面存储了大量比特币私钥的人们，要么是误操作，删掉了磁盘内容，要么是真的想不起来私钥。如果回到 2013 年，问问他们会不会未来有一天想不起来他们设置的密钥或者存储介质损坏，他们都会信誓旦旦的说不可能，而且就算是发生这种事件，也不会损失什么，一如 IT 从业者不可触碰的骄傲。
但是多个地方备份的话肯定有安全顾虑，去说服使用非自行管理的在线服务，几乎是不可能的。
数据无价，谨慎拔插🤓

[suibianzai]

-》浏览器扩展，每次打开浏览器都要重新输入主密码；

这个可以在设置->密码库超时 修改成永久记住密码

[dreamramon]

发现 bitwarden 上传附件也要付费的，感觉买了他那个就和 1password 差不多钱了，lz 没有上传附件嘛？

[mrchi]

@dreamramon 用 bitwarden_rs （现在叫 vaultwarden ）自建不需要收钱吧，你是不是用的 bitwarden 的 saas 版本。

[dreamramon]

@mrchi 自建的 secure note 不能上传附件，你试下就知道了。