Bitwarden cancella "Always free" dal sito: cosa sta succedendo al password manager open source?

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...ce_153653.html

Bitwarden rimuove "Always free" dal sito, riscrive i valori GRIT cancellando Inclusion e Transparency, sostituisce CEO e CFO senza alcun comunicato ufficiale. Sullivan, nuovo amministratore, arriva da deal da un miliardo con Vista Equity e Hg

Click sul link per visualizzare la notizia.

[mmorselli]

Ma perché usare un prodotto commerciale che offre ANCHE un piano free, ovviamente veicolo per quello non free, quando esiste KeePass?

[Hiei3600]

Eh, come se non avessimo già abbastanza brutte notizie per la giornata

[demon77]

Personalmente ho sempre diffidato di questi servizi.. o meglio, ho sempre preferito fare da me, offline e per i fattacci miei.

File TXT ignorante con tutti gli account e password varie criptato con AXCRYPT.
La versione vecchia, offline e stand alone.

[mozzarello]

Originariamente inviato da Hiei3600

Eh, come se non avessimo già abbastanza brutte notizie per la giornata

Quali sono le altre?

Comunque, non ho capito, passano in mano a cinesi? O forse diventerà solo pagamento?

Chiedo perché nel primo caso cancello tutto istantaneamente, nel secondo aspetto mi dicano che devo pagare

[mozzarello]

Originariamente inviato da mmorselli

Ma perché usare un prodotto commerciale che offre ANCHE un piano free, ovviamente veicolo per quello non free, quando esiste KeePass?

Presumo per lo stesso discorso su Google, perché è comodo.
Io prima avevo un keepass su cloud, ma vuoi mettere installare browser da zero, estensione bitwarden e loggarti ovunque senza problemi?

Va bè che io synco le password anche nel browser

[mmorselli]

Originariamente inviato da demon77

File TXT ignorante con tutti gli account e password varie criptato con AXCRYPT.
La versione vecchia, offline e stand alone.

Sei esposto ai keylogger in questo modo, che sono facilissimi da prendere senza saperlo. Con un gestore serio invece ci sono già implementate tutte le tecniche per evitarli, e il file delle password a cui puoi anche infilare allegati, gli OTP di Google Authenticator (difficile questo in un txt) e creare automazioni, è crittato in AES-256

sempre stand-alone, portable, e un singolo file che puoi salvare ovunque se lo proteggi con una password decente

[Hiei3600]

Originariamente inviato da mozzarello

Quali sono le altre?

Quella che Google ha ridotto a 5 GB lo spazio per i nuovi account non verificati da numero telefonico (non è un problema che mi riguarda personalmente ma mi ha dato comunque fastidio).

Altre brutte notizie sono più personali non apparse qui su hwupgrade(Tipo che la scheda grafica del mio PC mi sta morendo )

[mmorselli]

Originariamente inviato da Hiei3600

Quella che Google ha ridotto a 5 GB lo spazio per i nuovi account non verificati da numero telefonico

Io però è una vita che non riesco a creare account google senza associare un numero di telefono, un po' di tempo fa mi serviva di crearne uno o due al mese (che andavano a morire dopo aver ricevuto un paio di mail), ma mi toccava ruotare due numeri di telefono, perché non ti fa usare troppe volte lo stesso numero in tempi relativamente brevi.

[Tasslehoff]

Originariamente inviato da mmorselli

Ma perché usare un prodotto commerciale che offre ANCHE un piano free, ovviamente veicolo per quello non free, quando esiste KeePass?

Anch'io uso KeePass ma in termini di usabilità c'è un abisso.

Già usando KeepassXC le cose migliorano ma stai confrontando un servizio web based, gestito e perfettamente integrato con browser e mobile con uno locale, dove per fare anche solo la sincronizzazione devi fare le capriole, dove per usarlo mobile devi arrangiarti, etc etc...

Poi non c'è solo la tua casistica di utente singolo, ci sono tanti casi di utilizzo di gruppo, dove il password manager serve a diverse persone e deve prevedere accessi concorrenti.

Ci sono alternative a Bitwarden altrettanto valide e free, però alcune sono self-hosted (es Vaultwarden o Passbolt) e richiedono competenze che la gran parte degli utenti non ha.

Insomma non facciamo il solito errore di considerare la propria casistica come universale, parafrasando un celebre spot "Gli utenti sono tanti, milioni di milioni, la stella di..."

[demon77]

Originariamente inviato da mmorselli

Sei esposto ai keylogger in questo modo, che sono facilissimi da prendere senza saperlo. Con un gestore serio invece ci sono già implementate tutte le tecniche per evitarli, e il file delle password a cui puoi anche infilare allegati, gli OTP di Google Authenticator (difficile questo in un txt) e creare automazioni, è crittato in AES-256

sempre stand-alone, portable, e un singolo file che puoi salvare ovunque se lo proteggi con una password decente

Ti ringrazio per queste info.. in effetti è una cosa da tenere presente.
Certo devono anche fregarsi il file dal mio disco fisso ma comunque è una questione da considerare.

[destroyer85]

Ma dopo che qualche mese fa qualcuno ha smutandato questi servizi mostrando chiaramente che non esiste nessuna master key e che possono tranquillamente accedere ai dati, qualcuno gli da ancora credito?

[mmorselli]

Originariamente inviato da Tasslehoff

Già usando KeepassXC le cose migliorano ma stai confrontando un servizio web based, gestito e perfettamente integrato con browser e mobile con uno locale, dove per fare anche solo la sincronizzazione devi fare le capriole, dove per usarlo mobile devi arrangiarti, etc etc...

integrazione con il browser: ottima, ci sono plugin per tutto
sincronizzazione del mio keyring: OneDrive
sincronizzazione multiutente con i colleghi: Git
mobile: ottimo client per android con cifratura biometrica che legge direttamente il file da OneDrive

I password manager sono per power user, gli utenti normali anche se gli dici che esistono non lo usano nemmeno se li minacci, quelli puntano sempre alla cosa più semplice, cioè il documento word con tutte le password in chiaro, oppure la stessa password per tutti i servizi che durerebbe 20 secondi con un attacco dizionario.

E per un power user organizzarsi keepass perché sia migliore di un servizio online è una passeggiata.

I servizi online supportano il 2FA con Authenticator? Chiedo, non li uso, ma a me scoccia molto dover tirare fuori lo smartphone per entrare nei tanti servizi in cui ho attivo un 2FA

Permettono di usare più di un keyring? Io per esempio devo averne 3 sempre aperti, il mio personale che uso da 20 anni, un di lavoro con password di livello amministrativo che abbiamo in 3 persone, un altro sempre di lavoro con password di livello developer che hanno gli sviluppatori

[mmorselli]

Originariamente inviato da demon77

Ti ringrazio per queste info.. in effetti è una cosa da tenere presente. Certo devono anche fregarsi il file dal mio disco fisso ma comunque è una questione da considerare.

Il keylogger ti frega le password mentre le usi, perché se le tieni in un txt devi fare copia e incolla con la clipboard di windows. Keylogger è il nome storico, ma tutti i keylogger sono anche clippboard logger. Keepass invece si interfaccia con il browser tramite un canale sicuro e non passa per la clipboard, se la password deve finire in qualcosa che non è un browser (es. una shell o un programma locale) puoi usare autotype che invia i tasti in modo che un keylogger non capisca qual è la password completa. Se alla fine vuoi o devi comunque usare copia e incolla, primo ti consente di farlo senza esporre la password, secondo ti fa configurare un tempo a piacere, in genere 10-20 secondi, in cui la password scompare dalla clipboard. Questo non protegge da keylogger sofisticati, ma quelli semplici sì.

[mozzarello]

Originariamente inviato da mmorselli

integrazione con il browser: ottima, ci sono plugin per tutto
sincronizzazione del mio keyring: OneDrive
sincronizzazione multiutente con i colleghi: Git
mobile: ottimo client per android con cifratura biometrica che legge direttamente il file da OneDrive

I password manager sono per power user, gli utenti normali anche se gli dici che esistono non lo usano nemmeno se li minacci, quelli puntano sempre alla cosa più semplice, cioè il documento word con tutte le password in chiaro, oppure la stessa password per tutti i servizi che durerebbe 20 secondi con un attacco dizionario.

E per un power user organizzarsi keepass perché sia migliore di un servizio online è una passeggiata.

I servizi online supportano il 2FA con Authenticator? Chiedo, non li uso, ma a me scoccia molto dover tirare fuori lo smartphone per entrare nei tanti servizi in cui ho attivo un 2FA

Permettono di usare più di un keyring? Io per esempio devo averne 3 sempre aperti, il mio personale che uso da 20 anni, un di lavoro con password di livello amministrativo che abbiamo in 3 persone, un altro sempre di lavoro con password di livello developer che hanno gli sviluppatori

Si infatti io in qualsiasi cosa "necessaria", che non mi piace fare, divento un utente normale, ma non ho capito il discorso sul 2FA. Io odio dover avere il telefono per gli authenticator, che spesso sono al PC, devo accedere a un servizio e ho il telefono dall'altra parte della casa. Tu hai chiesto prima se i servizi online supportano Authenticator, poi che ti scoccia tirare fuori il telefono. Quindi come useresti gli authenticator?

Comunque la comodità non è tanto col browser che fai copia e incolla, io uso così anche bitwarden, è più col telefonino, dove non so come funzioni keepass, ma bitwarden ha sia la sua app sia l'estensione per Firefox. Considera anche che molte volte ti serve la password ma non hai accesso all tuo Cloud.

Sul resto d'accordissimo, a parte usare OneDrive, meno multinazionali straniere ci sono nel mezzo meglio è

[mozzarello]

Se si legge l'articolo originale linkato c'è un update che dice che hanno rimesso la voce always online, e che dicono fosse una svista marketing (ah il marketing).

[bertans]

Originariamente inviato da demon77

File TXT ignorante con tutti gli account e password varie criptato con AXCRYPT.
La versione vecchia, offline e stand alone.

Ciao, questa soluzione ha stuzzicato non poco la mia curiosità. Posso chiederti quale versione usi (ho cercato sul sito e qualcosa ho trovato tra i prodotti legacy)?

Al momento ho un file TXT senza alcuna cifratura ma mi rendo conto che sia una mezza follia...

A

[mozzarello]

Però se dovete tenere in file txt allora perché non keepass? Io prima che tutto il reparto passasse a bitwarden ho usato quello al lavoro, syncato sul nostro next Cloud, senza problemi, è identico a un file txt, ma protetto e con più feature. A casa anche ma era in effetti una rottura rispetto a bitwarden con almeno 4-5 pc e un telefono, e sono poi passato a quello.

Certo, va aperto con la master password

[marcram]

Originariamente inviato da mozzarello

Si infatti io in qualsiasi cosa "necessaria", che non mi piace fare, divento un utente normale, ma non ho capito il discorso sul 2FA. Io odio dover avere il telefono per gli authenticator, che spesso sono al PC, devo accedere a un servizio e ho il telefono dall'altra parte della casa. Tu hai chiesto prima se i servizi online supportano Authenticator, poi che ti scoccia tirare fuori il telefono. Quindi come useresti gli authenticator?

L'Autenticator è semplicemente un'app, che puoi avere sia sul telefono che sul pc...
Se salvi il seed in Keepass, lui ti fornisce i Totp sul pc nella stessa maniera che te li fornirebbe Aegis o Ente sul telefono...

[lumeruz]

Originariamente inviato da Tasslehoff

Anch'io uso KeePass ma in termini di usabilità c'è un abisso.

adirittura? Io non lo vedo questo abisso, per me sei tu che non sai usarlo.

Originariamente inviato da Tasslehoff

Già usando KeepassXC le cose migliorano ma stai confrontando un servizio web based, gestito e perfettamente integrato con browser e mobile con uno locale, dove per fare anche solo la sincronizzazione devi fare le capriole, dove per usarlo mobile devi arrangiarti, etc etc...

capriole? usarlo mobile devi arrangiarti? Ma di che parli?
KeePassXC (Windows/Linux) + KeePassDX (Android).
Lo messo a mio padre, su windows google drive sincronizza in automatico, su android gli ho detto che per aprirlo deve andare su drive e touch, in automatico scarica l'ultima versione e apre KeePassDX, password che si può salvare nel biometrico, quindi basta un dito e si apre. Hai la mentalità da boomer.

Originariamente inviato da Tasslehoff

Poi non c'è solo la tua casistica di utente singolo, ci sono tanti casi di utilizzo di gruppo, dove il password manager serve a diverse persone e deve prevedere accessi concorrenti.

Non mi è mai servito così ma penso che si possa fare con google drive installato su più dispositivi, anche perchè a mio padre serve su smartphone e tablet lato androie e su PC lato window. Ma nulla togliere aggiurgene altri. Magari non supporta l'aggiornamento concorrente.