Zelfgehoste versus cloudgebaseerde wachtwoordmanager

Enkele klanten hebben vragen gesteld over de voor- en nadelen van een zelfgehoste oplossing voor wachtwoordbeheer, zoals Bitwarden. Omdat ik veel ervaring heb met dit onderwerp, dacht ik dat ik een aantal van de belangrijkste redenen zou delen om een cloudgebaseerde wachtwoordmanager zoals Keeper te gebruiken, in plaats van een zelf gehoste wachtwoordkluis.

Voordelen van een zelfgehoste oplossing

Het enige voordeel van een zelfgehoste platform voor wachtwoordbeheer dat ik kan bedenken, is als er een omgeving is waarin de gebruikers alleen een desktopcomputer gebruiken, in een air-gapped netwerkomgeving. Deze situatie geldt niet voor de overgrote meerderheid van personen of bedrijven.

Nadelen van een zelfgehoste oplossing

Beheer van infrastructuur

Bij een zelfgehoste oplossing is de klant verantwoordelijk voor het implementeren van de container, het hosten op een server, load balancing, SSL-certificaten, routing en firewall. De klant stapt over van het beheren van eindgebruikers naar het beheren van een volledig softwareplatform. Als er dingen fout gaan – en dat zal gebeuren – heeft de beheerder de volledige verantwoordelijkheid.

Er is expertise nodig op het gebied van:

• Docker-containers
• Docker Swarm voor hoge beschikbaarheid
• Hosting, onderhoud, upgrades en back-up van databaseservers
• Load balancing
• Firewall/webapplicatie-firewall (WAF)
• Beheer van Windows- of Linux-services
• Instantiepatching, back-up en herstel
• Hardwarebeheer: installatie en doorlopend onderhoud van servers, netwerkinfrastructuur (routers, switches), firewall/beveiligingsapparatuur, opslagarrays en elektrische installatie.
• Onderhoud van faciliteiten: noodstroomvoorziening (generatoren, accu’s), milieu, fysieke beveiliging en toegangscontrole.

Keeper wordt geïmplementeerd in een grote cloud-infrastructuur in meerdere geografische datacenters, met een fulltime toegewijd team van DevOps-medewerkers in de VS die de omgeving beheren, beveiligen en bewaken.

Aangepaste instellingen implementeren

In een zelfgehoste oplossing moeten alle geïmplementeerde apps door de beheerder en elke eindgebruiker worden gewijzigd om aangepaste URL-eindpuntinstellingen op te nemen. De gebruikers worden uitgedaagd om dit te doen en moeten een netwerkverbinding hebben met het gehoste eindpunt. U kunt deze instellingen ook pushen via groepsbeleid en Mobile Device Management (MDM), maar dit veronderstelt dat u totale en volledige controle heeft over alle eindpuntapparaten. Elk apparaat buiten uw controle moet handmatig worden geconfigureerd door de beheerder of gebruiker.

De eindgebruikersapplicaties van Keeper vereisen geen configuratie, ze werken onmiddellijk na installatie.

Gebrek aan kritieke use cases

Er zijn verschillende use cases die mogelijk niet beschikbaar zijn bij een lokale installatie van een wachtwoordkluisservice. Bijvoorbeeld:

• Realtime synchronisatie en pushes vereisen connectiviteit met een cloud-infrastructuur. Een cloud relay kan door de leverancier worden geleverd om dit op te lossen, maar dit ondermijnt daarom het nut van zelf hosten.
  
• Integratie van Single Sign-On (SSO) met on-premise sleutelbeheerservices is zeer complex
  
• Voor integratie met API’s is netwerkroutering vereist van ontwikkelings-/productieservers naar het zelfgehost doeleindpunt

Keeper biedt realtime synchronisatie en vereist geen services op locatie om te werken of te integreren met SSO. Alle API’s communiceren rechtstreeks met de Keeper-cloud, waarbij gebruik wordt gemaakt van zero-knowledge encryptie. Er zijn geen wijzigingen in de interne netwerkroutering vereist.

Kwetsbaarheden in de beveiliging

Om eindgebruikers toegang te geven tot de kluis op hun externe systemen of mobiele apparaten, moet de gehoste applicatie inkomende netwerktoegang tot het doel vrijgeven. Dit betekent dat de service openbaar toegankelijk is, waardoor bots en slechte acteurs deze kunnen aanvallen. Als gevolg hiervan bent u gedwongen om een front-end WAF-oplossing van derden te kopen en te implementeren, zoals Cloudflare, AWS Shield, enz.

Keeper is een volledig beheerde, zero-knowledge oplossing die wordt gehost in Amazon Web Services. Amazon Shield/WAF wordt ingezet om Distributed Denial of Service (DDoS) en andere botaanvallen te controleren.

Software-updates

Met een zelfgehoste oplossing moet alle software op locatie voortdurend worden geback-upt, gepatcht, verwijderd en opnieuw opgestart. Een kluisoplossing die snel verandert, vereist veel bewegende onderdelen en constante productupdates op de verschillende platforms: web, desktop, mobiel, browserextensies, enz. Het hoge tempo van updates vereist frequente softwarepatches voor elk product op locatie. En er is altijd het risico dat een slechte patch of een gemiste patch een ernstig probleem kan veroorzaken.

De software van Keeper op alle platforms is altijd up-to-date en gepatcht met de nieuwste beveiligingsupdates. Er is geen tussenkomst van de klant vereist.

Back-up en herstel

Er moeten back-ups worden gemaakt van databases, servers, configuraties en containers. Herstel moet continu worden getest en geverifieerd. Als dagelijkse back-ups worden gemaakt vanuit een instantie van een database op locatie, bestaat het risico dat binnen een periode van 24 uur kritieke en vertrouwelijke wachtwoorden verloren gaan.

De database-infrastructuur van Keeper is multiregionaal en multizone. Back-ups van gegevens kunnen binnen 30 dagen naar elk willekeurig tijdstip (tot op de seconde) worden hersteld. Daarnaast biedt de functie Recordoverzicht van Keeper volledige historische wijzigingen in elk wachtwoord of record dat vanaf het begin op het platform is opgeslagen.

Kwaadaardige insiders

Bij een zelfgehoste oplossing heeft de beheerder volledige controle over de software en opslag. Dit geeft de beheerder ook de mogelijkheid om de controle over de kluis van een gebruiker over te nemen, zelfs de kluis van de managers en leidinggevenden op C-niveau van de beheerder.

Nog een stap verder: als de beheerder de service vanuit de broncode heeft gebouwd, kan hij of zij ook bugs, kwetsbaarheden en escalaties van privileges introduceren. In de meeste omgevingen mogen beheerteams en leidinggevenden niet toestaan dat een beheerder zijn of haar privileges verhoogt en toegang krijgt tot de inhoud van gebruikerskluizen.

Keeper is gebouwd met een zero-knowledge en zero-trust beveiligingsarchitectuur. Keeper kan eenvoudig worden geconfigureerd om gedelegeerde beheerdersrollen met beperkte machtigingen aan te maken. Keeper-beheerders hebben nooit de mogelijkheid om de kluizen te ontcijferen van gebruikers die ze niet beheren.

Risico’s van open source

Het voorzien van een open source-gemeenschap van de volledige front-end en back-end broncode-repository is opmerkelijk en heeft voordelen op het gebied van transparantie. Er is echter een beperkt beveiligingsvoordeel voor de meeste bedrijven. Als een pull request van een kwaadaardige acteur wordt geaccepteerd in een open source-project zonder adequate peer review, kunnen kwetsbaarheden worden geïntroduceerd. Het is niet omdat de broncode openbaar is dat beveiligingsonderzoekers de code analyseren en testen op zwakke plekken in de beveiliging. Het is bekend dat er al jaren kwetsbaarheden voorkomen in veel openbare broncodeprojecten.

Keeper sluit contracten af met toonaangevende cybersecurity-onderzoekers om elk kwartaal penetratietests uit te voeren tegen softwaredoelen van Keeper, zowel intern als extern en met volledige toegang tot de broncode. Keeper wekt nu samen met Bugcrowd voor het beheer van zijn Vulnerability Disclosure Program (VDP), of het openbaar maken van kwetsbaarheden. Lees meer op https://bugcrowd.com/keepersecurity.

De API’s en softwareontwikkelingskits (SDK’s) van Keeper, zoals Commander en Geheimen Manager, zijn openbare bron en beschikbaar op onze Github-repository.

Hiaten in de audit door personeelsverloop

Het is onvermijdelijk dat een beheerder met controle over deze omgeving uiteindelijk de organisatie verlaat. Hierdoor kan een onbeheerd, niet onderhouden of onveilig systeem achterblijven. Als de beheerder wordt ontslagen of op slechte voorwaarden vertrekt, is er bovendien geen auditspoor van kwaadwillig gedrag (zoals het maken van kopieën van gebruikerskluizen, het introduceren van kwetsbaarheden of het vernietigen van gegevens).

Keeper heeft een geavanceerde rapportage- en alarmmodule (ARAM) die een auditspoor bevat van alle gebruikersactiviteiten. Beheerders van Keeper hebben nooit directe toegang tot de kluisgegevens van hun eindgebruikers.

Als u vragen heeft, kunt u ons een e-mail sturen op: security@keepersecurity.com.