Ich wollte nun mal endlich auf einen moderneren Passwortmanager wechseln und hatte dafür Bitwarden und KeePass im Auge. Ich hatte mich gerade schon fast für Bitwarden und zugehörigen Vaultwarden Server entschieden… Und nun muss ich feststellen, dass der Bitwarden Desktop Client überhaupt nicht in meinem Debian-Repository ist. Im F-Droid Store auch nicht, allerdings bieten sie dort wenigstens ein separates Repository an… Warum?
Sollte ich meine Idee nochmal überdenken und vielleicht doch KeePass oder etwas ganz anderes verwenden? Ich hätte gerne etwas das einfach zu benutzen ist, so dass ich es auch Freunden/Verwandten andrehen kann, gerne so dass man direkt seine 2FA Codes und Passkeys drin speichern kann. Aber bitte Freie Software und keine komischen Geschäftspraktiken und Snaps oder manuelle Installation, gerne auch kein Flatpak sondern einfach die gute althergebrachte Funktionsweise von Linux-Distributionen und ein “apt install …” mit Updates, Maintainern die ein Auge darauf haben und wofür man generell so Linux-Distributionen überhaupt erst hat. Oder gibt es sinnvolle Erklärungen warum man das nicht macht?
Nimm KeePass. Aber dringend KeePassDX für Android, KeePassXC für den PC. Die haben eine gute UI, sind einfach zu nutzen und unterstützen OTP. Zu Passkeys kann ich nichts sagen, die nutze ich nicht.
Danke. Hab gesehen, dass die seitdem ich mich das letzte Mal damit beschäftigt habe wohl Passkeys nachgerüstet haben. Alles klar, KeePassDX, KeePassXC… schaue ich mir die Tage nochmal genauer an. Soweit ich weiß kann man das dann einfach in seine Nextcloud reinpacken. Funktioniert das auch zuverlässig und ist idiotensicher genug um das weniger technisch begabten Leuten so vorzuwerfen?
Synchronisation über Nextcloud benutze ich seit 5 Jahren ohne Probleme, Bekannte von mir synchronisieren über die Google Cloud, auch ohne Probleme. Wenn man es initial vernünftig einrichtet, ist keepass eigentlich™ maximal wartungsarm.
Danke, klingt gut, sowas will ich auch. Dann richte ich mir das mal so ein, Nextcloud habe ich eh. Bitwarden läuft inzwischen auch auf meinem Computer, dann kann ich die die Tage mal vergleichen und lösche dann was mir weniger gut gefällt.
Ich nutze KeepassXC und synchronisierte die Datei mit Syncthing im LAN. Zusätzlich kann man in den Einstellungen angeben, dass man beim Speichern automatisch eine Kopie der alten Datei erstellt. Persönlich finde ich das deutlich leichter, damit Backups und ältere Versionen zu sichern, als immer eine Kopie der Datenbank bei Vaultwarden zu machen. Zusätzlich lässt sich alles local sichern und synchronisieren, man ist also nicht auf eine Internet Verbindung angewiesen. Dazu muss ich aber auch sagen, dass ich nicht oft neue Accounts anlege, manchmal erst nach mehreren Monaten. Falls das anders benötigt wird, könnte eine Synchronisierung mit Servern, wie bspw. Vaultwarden, einfacher sein. Auch das Teilen von Passwörtern ist damit wohl leichter. Die Datei von KeepassXC wird per Hand auf das Smartphone übertragen, wenn man es überhaupt mobil nutzen will. Auch das könnte vielleicht umständlich sein. Es ist also eine Frage, was man wie nutzen will. Mir ist der Aufwand mit Bitwarden zu hoch, aber das hängt, wie geschrieben, auch vom persönlichen Nutzungsszenario ab.
Wichtiger ist da sicherlich ein sicheres Hauptpasswort zu wählen. Eine gute Anleitung für KeepassXC (auch zum Passwort und weiterführende Anleitungen) gibt es beispielsweise im Kuketz Blog.
Danke für die ganzen Informationen. Ja, sowieso ganz witzig, dass der Weg zu einem Passwortmanager - der einem später die Last mit den Passwörtern abnimmt - ersteinmal über noch ein weiteres, neues Passwort führt, das man sich dann ausdenken muss.
Ich nehm mir einfach mal die Zeit mir die Beide nochmal genauer anzuschauen, scheint ja beides zu funktionieren und ich hab jetzt noch keine großen Einwände hier gehört von irgendwas die Finger zu lassen. Aber KeePass hört sich schon weniger komisch an.
Mit Nextcloud die Datei teilen? Wüsste nicht, was generell dagegen sprechen sollte. Für so kleine Dateien nehme ich immer Syncthing. Der NC Client auf Android ist mir dafür nicht ausgereift genug. Hatte in der Vergangenheit schon ein, zwei Male Probleme mit der zwei-Wege-Synchro.
Wenn das mal vernünftig eingerichtet ist, spricht m.E. nichts dagegen, das auch weniger versierten Menschen als Lösung anzubieten.
Was stört dich an Flatpak, die sind super handhabbar für jedermann. Seit Silverblue arbeite ich nur noch damit.
Ich nutze Bitwarden als Client auf einem eigenen Vaultwarden Server den ich öffenltich zu verfügung stelle. Ich bin jetzt mehrere Jahre äußerst zufrieden damit und konnte das auch sehr leicht anderen zur Verfügung stellen die damit klarkommen.
Warum es keine native Debian installation gibt kann ich dir nicht sagen, es hat bisher einfach wohl niemanden interessiert. Wahrscheinlich weil man Bitwarden zu 99% im Browser nutzt und nicht als eigenständige App.
Bei Keepass hab ich schon einige Leute abgehängt, vor allem weil es viel zu kompliziert ist das auf mehreren Geräten zu benutzen. Jedes Gerät hat eine andere Oberfläche und um den Sync muss man sich selbst kümmern.
Okay, danke für’s Teilen der Erfahrungen!
Ja ich bin nicht ganz abgeneigt gegenüber Flatpak. Ich nutze das auch für einige Software. Aber ich muss auch sagen, dass ich da in der Vergangenheit mal öfters nacharbeiten musste. Dann wollten hier mal das Plugin/Addon System nicht funktionieren oder das Sandboxing verhinderte das sich das mit dem Rest vom Desktop sauber integriert. Man hat Gigabyteweise Runtimes auf der Festplatte rumliegen, irgendwelche Projekte nehmen die Updates nicht so ernst und ich muss dann mit der Situation umgehen, dass ich irgendwelche verwundbaren Abhängigkeiten auf meinem System habe… Und auf der anderen Seite sind die Debian-Pakete meiner Erfahrung nach meist sehr problemlos und wartungsarm für mich. Sobald etwas in Stable ist, kümmern die Maintainer sich darum, patchen auch Dinge selbst wenn im Upstream-Projekt gerade etwas Chaos herrscht (sofern es ihnen denn möglich ist). Es ist eh gegen Bibliotheken gelinked bei denen sich dann andere Maintainer um die Sicherheitspatches kümmern. Es ist ein zusätzliches Paar Augen auf das was meine Software so tut. Sie entfernen ja manchmal auch Tracking-Bibliotheken, ändern die Standardeinstellungen so dass es besser zum Rest passt und sich an den Debian-Idealen orientiert. Testen die Software für mindestens 2 Wochen… Gut… Manchmal ist das auch mehr die Theorie dahinter und in der Praxis klappt das nicht so 100% gerade mit Desktop-Software, aber regelmäßig funktioniert das auch ganz gut. Also ich sehe schon Vorteile für mich, wenn ich die Software die irgendwie zum Fundament meines digitalen Lebens gehört aus einer Linux-Distribution beziehe.
Vielleicht werde ich auch nur alt. Und ich wette wir haben leicht andere Umstände zwischen Menschen die aus Gründen auf Silverblue setzen und Leute mit Debian(-Derivat), das sind ja schon sehr unterschiedliche Welten. Und Flatpak ist über die Jahre auch sehr viel besser geworden mit den kleinen Wehwehchen die ich so zwischendurch mal hatte. Fast immer funktioniert das inzwischen auch immer problemlos. Und ich hätte gerne auch Sandboxing direkt in Linux eingebaut und die Anwendersoftware mehr als Container verpackt. Apple macht sowas ja. Oder halt soetwas wie Flatpak. Aber mir fällt es wirklich schwer mein althergebrachtes Modell über Bord zu werfen und mein Vertrauen direkt in eine wilde Mischung von Onlineprojekten zu setzen, die ja auch manchmal enttäuschende Entscheidungen treffen und mit ihrer Verantwortung sehr unterschiedlich umgehen. Und ich kann da nicht überall selber am Ball bleiben. Deswegen mein Festhalten an dem etwas umständlicheren Weg. Zumindest für einige Anwendungsfälle die ich so habe. Kommt ja schlussendlich immer darauf an was man gerade so erreichen möchte.
Ich ware davor mehrere Jahre auf Arch, also war das für mich schon auch ein harter cut bzw umstieg, aber ich hab es bisher nicht bereut und empfehle es vielen neulingen.
[…] gerne so dass man direkt seine 2FA Codes und Passkeys drin speichern kann.
2FA (und Passkeys als zweiter Faktor) in der gleichen Datenbank untergräbt 2FA, da kann man das auch weglassen und ist komfortabler unterwegs.
Guter Einwand. Ich glaube ich hab da auch nur ganz wenige Ausnahmen wo ich das nicht weglassen kann, weil der Dienst mich zwingt Dinge zu tun, die ich nicht möchte oder brauche. Und da setze ich mich darüber hinweg. Ansonsten kann ich das ja auch auf 2 Datenbanken aufteilen, dann brauch ich wenigstens keine separate Software und Backups. Und langfristig hätte ich ja sowieso gerne einen vernünftigen kompletten Ersatz für Passwort-Logins anstatt Passkeys als zweiten Faktor zu benutzen. Zusammen mit einer PIN und evtl zusätzlich Fingerabdruck reicht das ja eigentlich vollkommen aus um 2FA zu realisieren. Und die PIN speichere ich ja nicht ab.
Ansonsten kann ich das ja auch auf 2 Datenbanken aufteilen, […]
Ja, so hab ich das auch gemacht.
Das flatpak funktioniert einwandfrei, aber die Desktop app benutze ich eh selten bis nie. Die browser extension ist alles was du brauchst :)
Dass die App nicht in F-Droid ist ist tatsächlich seltsam, hab meine aus dem Aurora Store.
Bitwarden ist als Browser-Plugin, als Flatpak und als Snap verfügbar.
Damit es auch in den Debian Quellen ist, muss sich jemand darum kümmern, es für Debian zu paketieren.
Vermutlich hat sich da einfach noch niemand gefunden.
Noch wahrscheinlicher ist, dass die Upstream-Quelle so oft Updates bekommt, dass der Arbeitsaufwand, das ins stabile Debian-Korsett zu pressen, einfach unverhältnismäßig ist.
Ich hab selbst mal versucht, ein Paket das mir gefehlt hat in Debian reinzubringen, aber nach einer Woche Recherche wie das geht hab ich es dann einfach gelassen. Sich dem Debian Prozess auszusetzen braucht schon einiges an Idealismus.Hmm, stimmt. Ich hab das vor 10 Jahren auch mal versucht. Aber letztlich wollen sie ja auch das Commitment das Paket dann langfristig zu pflegen(, was ja auch berechtigt ist). Und das war mir dann neben dem technischen Aufwand aber auch zu viel.
Ich hab grad mal durch die Releases gescrollt und es sieht so aus als wäre es grob eine Version pro Monat. Meist mit nur kleinen Änderungen aufgeführt… Aber das mag auch so oder so zu dem Veröffentlichungsmodell von Debian zu passen…
Es muss sich ja jemand um das Paket kümmern, regelmäßig Updates dafür machen, etc.
Nachdem Bitwarden selbst zumindest mal .deb veröffentlicht und vermutlich der Großteil der Nutzer das per Browser(oder plugin) oder App am Smartphone nutzt wird sich evtl. einfach kein Maintainer gefunden haben.
Hmm, danke. Kann ich mir gar nicht so recht vorstellen. Solange es nicht irgendwie an einer technischen Sache hängenbleibt wie einer komplizierten fehlenden Abhängigkeit, findet sich doch sonst auch immer jemand um jeden Pups in ein Debian-Paket zu gießen?
Ich werde morgen mal auf deren Mailinglisten schauen ob dort jemand was dazu geschrieben hat. Also das deb manuell installieren hatte ich eigentlich nicht vor. Das ist genau die unsicherste Variante vor der immer alle zu recht warnen, zudem bekommt man keine Updates und eine Hashsumme steht auch nicht daneben… Also für sicherheitsrelevate Software wie einen Passwortmanager halte ich das Angebot auf deren Website für etwas kontraproduktiv… Und es bringt den Menschen auch bei dumme Dinge zu tun…
Und genau das vermute ich als Grund warum das keinen Maintainer findet; viele der Nutzer/Entwickler werden gar kein Interesse an einem vernetzten Passwortmanager haben.
Ja schwierig. Irgendwie tue ich mich damit auch schwer. Letztlich wollen aber ja alle Anderen ihre Bankgeschäfte vom Handy aus machen. Oder meine DM-Rabatt-App logged sich beim warten an der Kasse aus… Und danach die DHL App und ich muss noch ein Paket aus der Packstation holen… Und da hab ich dann wenig Lust meinen Laptop aus dem Rucksack zu holen… Also ich denke schon, dass ich gerne einen Passwortmanager hätte der Smartphone und Laptop vernetzt.
Ich hab hier jetzt seit ein past Jahren Vaultwarden laufen und damit Keepass ersetzt. Solange man sowas alleine nutzt sind die dateibasierten eh ganz OK, aber spätestens wenn man die Familie mit reinbringen will lohnt sich der Blick auf was vernetztes. Und da ist Bitwarden als App + Browser-Plugin halt doch etwas einfacher.
Und besser als 'ich nehm einfach das selbe nochmal, das kann ich mir merken" ist es allemal.
