Vaultwarden؛ مدیر رمز عبور سازگار با Bitwarden روی سرور خودتان

چند سناریوی رایج که Vaultwarden در آن‌ها خوب جواب می‌دهد:

وقتی Vaultwarden را در مرحلهٔ سفارش انتخاب می‌کنید، پس از روشن شدن سرور این کارها خودکار انجام می‌شود: docker.io‏، curl و openssl را نصب می‌کند، یک توکن مدیر ۲۴ نویسه‌ای می‌سازد و در /etc/vaultwarden-admin-pw با دسترسی ۶۰۰ نگه می‌دارد، و با فرمان hash خود Vaultwarden و تنظیم OWASP آن را به هش argon2 تبدیل می‌کند. در حالت عادی فقط هش در متغیر ADMIN_TOKEN قرار می‌گیرد، نه خود توکن؛ اگر ساختن هش شکست بخورد، اسکریپت خود توکن را در این متغیر می‌گذارد که باز هم کار می‌کند اما Vaultwarden در گزارش‌هایش هشدار می‌دهد.

سپس image مربوط به vaultwarden/server را با نام vaultwarden و سیاست restart از نوع unless-stopped اجرا می‌کند، پورت ۸۰۸۶ سرور را به پورت ۸۰ برنامه وصل می‌کند و پوشهٔ /opt/vaultwarden-data را به /data. متغیر SIGNUPS_ALLOWED روی false است تا ثبت‌نام آزاد بسته باشد و INVITATIONS_ALLOWED روی true تا بتوانید کاربران را از صفحهٔ admin دعوت کنید. قانون فایروال فقط پورت ۸۰۸۶ را باز می‌کند و خودکار روی سرور شما ثبت می‌شود. در پایان، آدرس گاوصندوق، آدرس admin، توکن مدیر و یادآوری روش دعوت در تب اپلیکیشن صفحهٔ سرور نمایش داده می‌شوند.

نصب خودکار دو چیز را انجام نمی‌دهد و باید خودتان اضافه کنید: متغیر DOMAIN را برابر آدرس کامل https دامنه بگذارید، چون پیوست‌ها، لینک دعوت و WebAuthn به آن وابسته‌اند؛ و مسیر HTTPS را که در بخش بعد آمده پیش از دعوت از خودتان و ساختن اولین حساب آماده کنید، چون صفحهٔ ثبت‌نام بخشی از گاوصندوق وب است و روی http ساده باز نمی‌شود.

گاوصندوق وب Vaultwarden رمزگذاری را با Web Crypto API مرورگر انجام می‌دهد و مرورگرها این API را فقط روی HTTPS فعال می‌کنند. یعنی آدرس IP سرور با پورت ۸۰۸۶ برای گاوصندوق وب و صفحهٔ ثبت‌نام کار نمی‌کند. برنامه‌های دسکتاپ و موبایل Bitwarden شاید به http هم وصل شوند، اما هش رمز اصلی و توکن‌های جلسه در هر ورود منتقل می‌شوند؛ پس آن‌ها را هم فقط به آدرس https وصل کنید.

پروکسی لبه فقط به پورت ۸۰ سرور وصل می‌شود. روی سرور nginx نصب کنید که درخواست‌های پورت ۸۰ را به 127.0.0.1:8086 بفرستد و سرآیندهای WebSocket را منتقل کند تا همگام‌سازی زنده کار کند. پورت ۸۰ را در فایروال باز کنید، زیردامنه‌ای مثل vault.example.com را در مدیریت DNS به سرور اشاره دهید و پروکسی را روشن کنید تا گواهی SSL صادر شود. سپس پورت ۸۰۸۶ را در فایروال ببندید.

دقت کنید که رمزگذاری مسیر کاربر تا لبه را گواهی SSL انجام می‌دهد و مسیر لبه تا سرور روی پورت ۸۰ است. محتوای گاوصندوق در هر حال پیش از ارسال روی دستگاه کاربر رمزگذاری می‌شود. اگر می‌خواهید هیچ واسطه‌ای در مسیر نباشد، می‌توانید گواهی را مستقیم روی سرور بگیرید و پورت ۴۴۳ را باز کنید؛ در آن صورت تمدید گواهی با خودتان است.

ثبت‌نام آزاد در نصب خودکار از همان لحظهٔ اول خاموش است، پس هیچ بازه‌ای نیست که غریبه‌ای با پیدا کردن آدرس سرور حساب بسازد. هر عضو تازه را با توکن مدیر از مسیر admin، بخش Users و گزینهٔ Invite دعوت کنید؛ او سپس در صفحهٔ ثبت‌نام با همان ایمیل حساب می‌سازد و بعد می‌توانید او را به سازمان اضافه کنید. اگر می‌خواهید لایهٔ دیگری هم داشته باشید، پورت ۸۰۸۶ را در تب فایروال صفحهٔ سرور فقط برای IP خودتان باز بگذارید. دقت کنید که تنظیماتی که در صفحهٔ admin ذخیره می‌کنید در فایل config.json پوشهٔ داده نوشته می‌شوند و بر متغیرهای محیطی مقدم‌اند؛ پس اگر آنجا اجازهٔ ثبت‌نام را روشن کنید، تنظیم نصب خودکار دیگر اثری ندارد.

صفحهٔ admin کنترل کامل کاربران را دارد. توکن آن را در فایل /etc/vaultwarden-admin-pw نگه داشته‌اید؛ پس از پایان تنظیمات می‌توانید کانتینر را بدون متغیر ADMIN_TOKEN دوباره بسازید تا صفحهٔ admin غیرفعال شود و هر وقت لازم شد دوباره اضافه‌اش کنید؛ اگر در صفحهٔ admin تنظیمی ذخیره کرده‌اید، کلید admin_token را از config.json هم بردارید. برای همهٔ حساب‌ها ورود دومرحله‌ای را اجباری بدانید و رمز اصلی را دست‌کم چهار کلمهٔ تصادفی یا معادل آن انتخاب کنید؛ سازندهٔ رمز برای ساختن توکن مدیر هم به کار می‌آید.

سرور را هم سخت کنید: ورود SSH فقط با کلید، فایروال شبکه با کمترین پورت باز و به‌روزرسانی منظم سیستم‌عامل و image. Vaultwarden پروژه‌ای جامعه‌محور است و Bitwarden برای آن ضمانت امنیتی نمی‌دهد؛ اطلاعیه‌های امنیتی پروژه را دنبال کنید و نسخه‌های اصلاحی را زود نصب کنید.

Vaultwarden رایگان است و همهٔ امکاناتش بدون اشتراک در دسترس است؛ تنها هزینه، اجارهٔ ساعتی سرور ابری است و نصب هزینه‌ای ندارد. برنامه با Rust و SQLite اجرا می‌شود و برای چند ده کاربر فقط چند ده مگابایت حافظه می‌گیرد. پلن mini با یک گیگابایت حافظه حتی با nginx کنارش جای زیادی خالی دارد.

برای مدیر رمز، توصیه می‌کنیم سرور جدا داشته باشید و برنامه‌های دیگر را کنارش اجرا نکنید؛ هر برنامهٔ اضافه سطح حمله را بیشتر می‌کند. هزینه ساعتی از کیف پول کسر می‌شود و قرارداد ماهانه ندارد.

از دست رفتن سرور مدیر رمز یعنی از دست رفتن همهٔ رمزها؛ پس بکاپ در این سرویس اختیاری نیست. پوشهٔ /opt/vaultwarden-data شامل فایل دیتابیس db.sqlite3، کلیدهای rsa_key که توکن‌های ورود را امضا می‌کنند، پوشهٔ پیوست‌ها و Send و فایل config.json است. برای کپی سازگار دیتابیس از فرمان backup ابزار sqlite3 استفاده کنید و بقیهٔ پوشه را کنارش بردارید.

بکاپ را بیرون از سرور نگه دارید. از تب بکاپ پنل هم هر وقت خواستید بکاپ کامل سرور بسازید؛ بکاپ خودکار زمان‌بندی‌شده برای سرور ابری فعال نیست و فضای بکاپ ساعتی ۲ تومان به ازای هر گیگابایت حساب می‌شود. جزئیات در صفحهٔ پشتیبان‌گیری.

هر کاربر هم می‌تواند از گاوصندوق خودش خروجی رمزگذاری‌شده بگیرد و در جای امن نگه دارد. برای مهاجرت از Bitwarden ابری، LastPass‏، 1Password یا مدیر رمز مرورگر، خروجی آن‌ها را در بخش ورود دادهٔ گاوصندوق وب بارگذاری کنید و فایل خروجی متن ساده را بلافاصله پاک کنید.

نصب خودکار SMTP را تنظیم نمی‌کند، پس Vaultwarden در ابتدا ایمیل نمی‌فرستد. با این حال دعوت از بخش Users صفحهٔ admin بدون ایمیل هم کار می‌کند: ایمیلی برای کاربر ارسال نمی‌شود، اما او می‌تواند مستقیم در صفحهٔ ثبت‌نام با همان ایمیل حساب بسازد؛ کافی است آدرس گاوصندوق را خودتان به او بدهید. بدون ایمیل، دعوت‌نامهٔ سازمان باید از صفحهٔ admin تأیید شود و کد دومرحله‌ای ایمیلی و تأیید آدرس ایمیل کار نمی‌کنند. برای فعال‌سازی، متغیرهای SMTP_HOST‏، SMTP_FROM‏، SMTP_PORT‏، SMTP_SECURITY‏، SMTP_USERNAME و SMTP_PASSWORD را اضافه کنید؛ سرویس SMTP ایران‌کلاد یک گزینه است.

برنامه‌های موبایل Bitwarden برای همگام‌سازی فوری به سرویس اعلان Bitwarden متکی‌اند که باید جداگانه ثبت شود و از داخل ایران ممکن است در دسترس نباشد. بدون آن، برنامهٔ موبایل هنگام باز شدن یا با کشیدن صفحه به پایین همگام می‌شود؛ برای بیشتر کاربران این کافی است.

نصب خودکار، Vaultwarden را روی http ساده و پورت ۸۰۸۶ بالا می‌آورد؛ ثبت‌نام آزاد را می‌بندد و دعوت‌نامه را فعال می‌کند، اما دامنه، HTTPS‏، SMTP و دعوت از کاربران با شماست و تا HTTPS راه نیفتد گاوصندوق وب و صفحهٔ ثبت‌نام در مرورگر باز نمی‌شوند. Vaultwarden محصول رسمی Bitwarden نیست؛ ممکن است برخی امکانات تازهٔ برنامه‌های Bitwarden با تأخیر پشتیبانی شوند و پشتیبانی آن جامعه‌محور است. پیش از جابه‌جایی کل خانواده یا تیم، هر امکانی را که به آن نیاز دارید در محیط خودتان امتحان کنید.

امنیت یک مدیر رمز خودمیزبان به اندازهٔ دقت نگه‌دارندهٔ آن است. اگر نمی‌توانید به‌روزرسانی منظم، بکاپ بیرونی و پایش سرور را تضمین کنید، یک سرویس مدیریت‌شده گزینهٔ امن‌تری است. برای پایش در دسترس بودن گاوصندوق، Uptime Kuma را روی سرور دیگری اجرا کنید.