|
|
发表于 2022-6-5 09:40:34
|
显示全部楼层
本帖最后由 dvbhack 于 2022-6-5 12:51 编辑
我只用自建的。
用 docker 部署在腾讯云（正规云服务商的都一样，但用免费甲骨文，白**azure，欠费aws，oneman vps的就不作为同类型讨论了）
一：主密码
主密码不记录在任何地方，只有自己大脑里记着，主密码18位，大小写数字特殊符号都包括了。
二：vault（密码库）
关了注册，关了admin，账户开启了2FA，一是非信任设备登录必须经过2FA验证，二是非常用地登录会立刻发邮件通知我。
三：服务器
服务器禁用root登录，禁用密码登录，只允许 ed25519 算法的 ssh key 登录，端口非默认， fail2ban 禁止反复尝试。
四：部署
bitwarden 这台机器配置不算高，但上面只部署这个服务，没有其它的东西在上面跑。
五：备份
每隔8小时，数据库和附件会自动打包备份到 COS + OBS（OSS或其它正规存储服务也一样，但免费版、内测版、白**和小服务商的就不作为同类讨论了）。
-----------
担心不安全的，你其实只需要考虑好三个问题：
1. 服务安全，密码服务太重要了，一旦数据丢失，那损失是最大的，所以要依赖可靠的服务商，服务能稳定，万一不能用了，起码能取回数据（多点备份）。
2. 主机安全，会不会很容易被人攻破拿走你的数据库和附件。
3. 主密码安全，会不会被人通过猜测、暴力破解或者社工手段拿到你的主密码。
其中2其实没那么危险，只要确保了3，即使别人攻破你的机器拿到你的数据，也拿不到你的密码。
-------
我为什么不选择官方？
因为它是外国的啊。我不质疑官方的安全性，安全性不会是问题，包括lastpass这些，安全性也不是问题。我只担心它的持续可用性。
不必去争意识形态的东西，也不要去考虑谁对谁错的问题。中美激烈对抗的当下，美国主动制裁禁止中国地区用户使用是一种风险（美国跟中国商家一样，也会为了保命对政府监管做出过度自我审查），中国阻断出境流量不可访问是另一种风险（并不是说不敏感的东西就一定能用，误伤、牵连、全面断网、白名单机制……曾经被牵连导致不可用的正常内容还少吗？）。
这两种风险我觉得比我的数据被人黑了的可能性大多了。
另外，我得反正是自己用，当然是延迟10ms以内的广州云比海外的机器的速度快啊。我在手机 bw 上扫码启用一个 2FA，电脑上几乎是秒同步启用，这不香？ |
|
楼主