@ag о. Ровно этого я и ждал, когда рассматривал, куда переходить, в своё время, в итоге перешёл на keepass+syncthing и не жалею.
Централизованные сервисы не нужны.

@ag бля

@ag @rayslava keepass+syncthing база. Использую много лет.

@ag Хранение TOTP на том же чьем-то сервере, что и пароль, звучит как-то не очень секурно.

@ex @ag Вообще как бы TOTP - это доказательство того, что ты владеешь устройством, которое генерирует код.
Как можно его в парольнице хранить?

@rayslava @ag А можно поподробнее? Я давно на Keepass, но с синхронизацией всегда проблемы. Как это работает? Спасибо!

@menelion @rayslava @ag

Безопасная базовая схема синхронизации KeePass+Syncthing:

- Не редактировать одну базу одновременно на двух устройствах.
- Перед исправлением остановить KeePass/KeePassXC на всех устройствах и дождаться, пока Syncthing покажет одинаковое состояние папки.
- Не удалять файлы вида `database.sync-conflict-...kdbx` — это резервные варианты с изменениями.
- Открыть основной `.kdbx`, затем использовать встроенную синхронизацию KeePass/KeePassXC с конфликтным файлом, чтобы объединить изменения. Для KeePass это обычно `File` → `Synchronize` → `Synchronize with File`.
- В KeePassXC включить автоперезагрузку базы при внешнем изменении и автосохранение после изменений.
- На Android отключить кэширование базы KeePassXC: оно может оставлять устаревшую локальную копию и повышать вероятность конфликтов.

#keepass #syncthing

@menelion @rayslava @ag

Продолжение.

Безопасная базовая схема синхронизации KeePass+Syncthing:

- В Syncthing включить версионирование папки — `Simple Versioning` или `Trash Can Versioning`. Не устанавливать `maxConflicts = 0`: это может оставить только последнюю версию и потерять изменения с другого устройства.
- Не «лечить» проблему отключением конфликтов: Syncthing не может корректно объединить две зашифрованные версии `.kdbx`; объединение должен выполнять сам KeePass/KeePassXC.

#keepass #syncthing

@Revertron @ex @ag селфхост.

@shaman007 @ex @ag

Так нет, это потому и называется мультифакторной аутентификацией, потому что разделено на две категории:
1. То, что ты знаешь (пароль)
2. то, чем ты владеешь (генератор токенов)

Когда оно всё лежит в одном месте, это однофакторная аутентификация с дополнительными неудобными шагами.

@shaman007 @Revertron @ex @ag

Даже в случае селфхоста не стоит класть все яйца в одну корзину.

Иначе может случиться неприятное сразу несколькими способами..

Данной процедурой нивелируется самая идея мультифакторной аутентификации.

Хотя с другой стороны [с той, где (*)] против терморектального криптоанализа это не спасёт.

Но это тоже не оправдывает "разгильдяйство и бездорожье" (ТМ).

Поэтому ударим автопробегом....
Остапа несло. (С) ТМ

@ashed @Revertron @ex @ag надо выгружать базу в текстовый вид и хранить шифрованную копию. Что может случиться?

@shaman007 @Revertron @ex @ag

"надо выгружать базу в текстовый вид и хранить шифрованную копию."

Это делается автоматически?
С какими правами?
Какой сущностью?
Что делать при компрометации?
Если ли проверенный DRP на этот случай?

@Revertron @ex @ag не совсем: у тебя может быть перехвачен пароль, но перехват единичного TOTP не поможет.

Короче логиниться в хуитор и фейсбук - нормально, сойдет. В банк - харам.

@shaman007 Ладно бы просто перехватили, в худшем случае вся база может утечь с ключами шифрования, а в ней и пароль, и ключ для генерации TOTP.

@Revertron @ag

@ex @Revertron @ag по этому для важных вещей pinning и аппаратные ключи. Для твиттера - good enough.

@shaman007 @ex @ag Не может быть good enough когда оба фактора хранятся в одной базе.

@Revertron я обычно использую TOTP как способ доказать избыточно опекающему сервису что не надо спрашивать у меня селфи с паспортом, код из СМС и прочее, даже если я вдруг залогинился с немного другого IP. Не инструмент защиты от хакиров, а инструмент защиты от избыточной опеки со стороны всяких анальных сервисов

@ex @ag

@menelion @rayslava @ashed @ag и конечно же жалко что это все нормально работает только на Linux. Проблем запустит syncthing на макосе нету, а вот с ифонами беда )

@shtnik @menelion @rayslava @ag С Я-телефонами нет беды, там такого рода софтом пытаются пользоваться единицы. Иногда даже успешно.

@shtnik @rayslava @ashed @ag Ааа, понятно. Я мимо, я виндузятник.

@ashed @menelion @ag @rayslava хм на счет винды не знаю (

@menelion
Собственно в окошках методы лечения ровно те же.
В логах что пишется?

@shtnik @rayslava @ag

@ashed @menelion @ag @rayslava я через облако стекаю, не так безопасно да (

@shtnik @ashed @ag @rayslava У меня kdbx тоже в облаке, но думал, может, есть какой-то более кошерный метод.

@ashed @ag @menelion @rayslava запоминать )

@shtnik
На самом деле "облака"... не существуют.
Это просто эвфемизм для обозначения банальных чужих компьютеров.

@menelion @ag @rayslava

@menelion @ashed @ag @rayslava кстати да. Может же поднять какой-нибудь next cloud, тогда будет почти твой.

@ashed @menelion @rayslava @ag это выглядит сложно, но большая часть этого уже настроена по умолчанию или не относится к проблеме.

Конфликты синхронизации практически неизбежны, всегда можно влететь в ситуацию, когда изменил файл на одном устройстве и изменения не успели долететь до других, а ты меняешь этот файл откуда-то ещё. В такой ситуации средству синхронизации необходима возможность сохранять *обе* версии. Syncthing делает очень элегантно: конфликтующей версии добавляет перед расширением суффикс ".sync-conflict-…" и укладывает её в ту же папку, синхронизируя как обычно.

Работать с этим очень просто: когда такой файл конфликта появляется, объединяем (merge) его с основным с помощью KeePassXC (десктопы) или KeePassDX (Android), сохраняем и конфликтный файл сносим. Всё.

Можно избегать таких ситуаций, если менять базу только на одном устройстве, но решение конфликтов, имхо, достаточно простое, чтобы себя так не ограничивать.