Vaultwarden이 궁금합니다.
사이트마다 자동으로 랜덤 비번 생성해서 관리해주는 프로그램들이 있다는 건 알고 있었지만, 외부에서 그 프로그램을 사용하지 못해 직접 입력해야 하는 상황에는 불편해서 어떡하나 라는 생각에 손이 안 갔습니다. (싸지방에서 모바일 OTP를 요구하던 추억...)
그래서 폰에서는 삼성패스, 컴터에서는 엣지로 비밀번호 단순 저장 기능만 사용하다가,
최근 계정 털리는 사건들도 많아진 것 같고, 허름해 보이는 사이트 가입하다 보면 겉만 보고 판단해서는 안되지만 보안도 허술할 거 같은 느낌이 들어 다시 이쪽으로 마음이 기울기 시작했습니다.
그러다 아래 글을 보고 나스 사용자들의 필수템(?)이라고 익히 들었던 Vaultwarden에 갑자기 꽂혀서 달소님 가이드 보고 설치하고,
신나서 동생한테 "각 사이트마다 안전한 랜덤 비밀번호 생성해주는 앱 써볼래?" 했더니
크롬에서 몇 년 전부터 물어봐도 귀찮아서 안 쓰고 있는데 무슨 소리냐며 짜증을 냅니다.
크롬을 안 써서 이런 기능이 있던 걸 몰랐는데, 뒤통수 한대 맞은 느낌이었습니다.
- 플랫폼 제약을 제외하고, 기존 브라우저 등이 제공하는 서비스 대비 비트워든/Vaultwarden (혹은 기타 비밀번호 관리 전용 앱)의 장점이 뭔가요?
- 셀프호스팅을 하면 보안 문제에서는 걱정이 없나요? 그래도 개인이 취미로 굴리는 거보다 기업에서 전문적으로 관리하는 서버가 더 안전할 거 같다는 막연한 생각이 드는데요... (리버스 프록시에 HTTPS 인증서 거는 거 외에는 딱히 보안 조치라고는 한 건 없는 거 같습니다)
- 마스터비번이나 docker-compose.yml에 plain text로 저장된 관리토큰 털리면 끝일 거 같은데 이를 추가 보완할 방법이 있을까요?
- 이건 번외로 컨테이너 매니저 개념에 대한 질문인데, 아래 달소님이 작성해주신 docker-compose.yml로 설치하는 것과 Container Manager -> 레지스트리 -> vaultwarden/server 설치하는 것과 어떻게 다른가요?
1등 
서맹님.😊좋은답변을 받기위해서는 좋은 질문이 필요합니다.
유의할점⚠️
- 예의를 지켜주세요. 답변자는 답변을 할 의무는 없습니다.
- 질문에 대한 대부분의 답은 검색으로 찾아보실 수 있습니다.
- 답변자가 답변을 하면서 대개 많은 경우는 다시 질문을 하는 경우가 많이 있습니다.
- (질문의 대한 정보가 부족합니다. ~일 경우 결과물이 어떻게 됩니까? 등등)
질문방법🙏
자신의 상황을 최대한 자세히 설명해주세요.
상황이 정확하고 많을 수록 답변의 정확도가 올라갑니다.
ex) ex) 헤놀로지라면 메인보드 모델 칩셋정보, CPU, 사용한 DSM 버전, 모델, 부수적인 추가 컨트롤러 나 랜카드 등과 어떠한 로더의 이미지를 사용했는지.(arpl-i18n, mshell), 어떤 버전을 사용했는지, 문제가있다면 어떠한것인지 스크린샷을 동반하고 에러의 경우 에러로그를 출력해서 주시면 좋습니다.
*가능하면 최신버전 OS/SW를 이용해주세요
답변에대한 피드백을 주세요.
정보가 질문에 모두 담겨있지않다면 대부분의 답변이 다른정보를 요구합니다.
이러한 답변에 대해 명확한 피드백을 주시면 도움이 됩니다.
1. 브라우저에서 제공되는 서비스는 클라우드에 키가 저장된다. 대부분 비밀번호 관리 전용앱들의 케이스입니다. 지난번 원패스 사건처럼 안타깝게도 이러한 서비스들은 당연히 해커들입장에서도 중요도가 높은 타켓일 수 밖에 없습니다. 대부분의 해킹은 금전적인 목적으로 손해끼치기 위해 발생합니다. 비밀번호를 많이 모아두면 둘수록 개인정보가 많으면 많을수록 당연히 타겟팅 될 수 밖에 없죠. 개인의 서버라고 안심할 수는 없지만 상대적으로 이득을 보기 어려운 상황에서 굳이 개인의 정보를 빼기는....너무 수고가 많죠.
2. 셀프 호스팅도 많은 것들을 필수로 지켜주시면 어느정도는 안전해집니다. 기업에서...전문적으로 돌려도 같은 베이스 프로그램이라 난이도는 비슷할 수 도 있습니다. 오히려 많은 사람들이 사용하는 기기이기에 오히려 잘못된 이메일 링크 메일 등등으로 더 많이 뚫릴 수 있습니다. 저는 zerotier와 리버스 프록시와 호스팅하고 있는 서버를 이원화 시켜 직접 ip노출을 없애고 uPNP도 공유기에서 꺼두어 공유기에서 포트 노출을 없앴습니다.
3. 이건 답이 없습니다 이게 뚫리려면 ssh에 접속이 가능하고 linux를 쓰는 걸 알고 본인의 비밀번호 및 아이디를 알아야하는데....이정도 상황이면 제로부터 시작이 맞습니다. 모니터 앱으로 외부 트래픽을 보긴해야죠
4. docker-compose.yml은 일종의 컨닝페이퍼입니다. 어느 시스템에서 돌려도 하드웨어가 기본적으로 비슷하다면 항상 같은 기대값으로 프로그램이 실행되리라 예상할 수 있습니다. 컨테이너 매니저에서 직접 이 모든 것을 설정하기에는 유저에러 그리고 방대해지는 가이드 포스트 양이 있기에 docker-compose를 사용해서 가이드를 구성하는 방법을 많이 씁니다. 직접 구성은 그리고 한 3-6개월되면 어떻게 했는지 까먹어요 ㅎㅎ 업데이트시에는 컨테이너를 완벽하게 날리고 이미지를 다시 내려받아서 실행해야하는데...이게 어럽죠 ㅎㅎ
말씀하신 보안조치도 검색해 봐야겠네요.
일단 귀찮아서 열어둔 ssh부터 닫아야겠습니다.. ㅎㅎ
3등 2번처럼 ip노출을 없애고 별도 cloudflare인증을 태운다던지,, 여러가지 방법도있구요.
3. 마스터에도 2차 OTP를 걸고 compose 외 .env 파일로 추가 분리하는방법도있습니다. ssh가 뚫린다면 말짱도루묵이긴하지만요..
DarkAcid님께서 너무 잘써주셔서 추가할게없네요 ㅎ
비번 옮길 생각하니까 까마득하지만 달소님 가이드 덕분에 쉽게 설치했습니다. 감사합니다!
- 브라우저가 제공하는건 브라우저에서만 되죠. 앱에서도 수많은 로그인이 이뤄지는데 거기서는 사용을 못하는거죠. 브라우저에서 쓸 건 애플이면 키체인을 쓰면 되고 삼성이면 삼성패스를 쓰면 됩니다.
이 경우 뭐 삼성 계열만 쓰거나 애플만 쓸거면 공유가 되는데, 윈도우 ios 안드로이드를 넘나들면서 쓰려면 써드파티를 쓸 수 밖에 없게 됩니다. 이 통합에 의미가 있습니다.
또한 비트워든의 경우 하나의 비밀번호에 다양한 키워드를 추가해주고 유사할 경우 띄워줍니다. 네이버 사이트에서 등록한 비밀번호가, 유사한 앱명을 가지는 네이버앱에서도 뜨게 되어 유용합니다. - 보안
마스터비번 털리면 끝입니다. 그러므로 TOTP나 이메일 등의 2차인증을 걸고 써야하며, 이 경우 마스터비번을 털리더라도 로그인을 못하니 안전합니다. 2차인증까지 털리는건 매우 드문 일이니까요.
도커로 설치하는 경우 서버 자체가 털려 그 도커 데이터파일이 탈취된 경우, 그대로 복사해서 다른 서버에서 도커를 띄우면 동일한 데이터를 가진 valutwarden이 생깁니다만, 이 경우에 로그인을 해야만 접근이 됩니다.
즉 데이터 자체가 털려도, 마스터비번(과 OTP) 가 2차적으로 방어해줍니다.
DB자체는 (아마도) 암호화가 되어 있을 거라 직접 접근은 안될겁니다. 복호화 시도하면 뚫릴 수도 있겠습니다만 유명인이 아닌 일반 개인의 단순 로그인정보를 위해 그럴 유인은 사실 없다고 생각합니다. - 제 기억으론 도커컴포즈에 평문으로 토큰되는건 없었던거 같습니다. 마스터비번+otp 둘다 털리지 않는 한 안전합니다.
ip로는 로그인도 안되서 https및 ssl 인증서가 필수입니다. db는 암호화, 로그인은 otp를 추가하고 otp까지 털리는게 아니라면 서버가 털리더라도 로그인 불가, 기업이 제공하는건 url이 알려져 무작위 로그인시도가 이뤄질 수도 있는데 셀프호스팅으로 올린건 일부러 알려고 시도 하지않는 한 접근할 url은 어디 올려놓지도 않으니 웬만하선 접근 불가, 개인에게 이 모든걸 뚫으려고 시도하지 않음,, 등등으로 저는 안전하다고 믿(고 싶은 거기도 하구요.)고 있네요.
글에 링크된 달소님 가이드로 설치했는데 설정했는데 관리자 페이지 들어가려면 docker-compose.yml에 평문으로 토큰을 설정해야 하더라고요. 요 파일 자체가 털려버리면 그대로 노출될 텐데 어쩌나 하는 상상을 펼쳐봤습니다 ㅠ
TOTP가 열심히 검색해봐도 언제 어떻게 사용하는 건지 아직 이해가 안 가서 직접 부딪혀봐야겠네요. 2차 인증 꼭 명심하겠습니다.
어드민 토큰도 암호화해서 사용할 수 있습니다.
https://github.com/dani-garcia/vaultwarden/wiki/Enabling-admin-page#secure-the-admin_token
공부해봐야겠습니다 감사합니다!
기업 서비스에 비해 개인 서비스가 해커들의 타겟이 될 확률이 낮지만
서비스가 고장 났을 때 대처하기 위해서는
개인 서비스도 백업에 관해서 세팅을 해둬야 하고
보안 설정도 추가로 해야하고 그런 부분이 좀 귀찮아 질 수 있겠죠
혼자 쓰시는 거면 문제 생겼을 때 조금 귀찮아질 뿐이지만
누군가 함께 사용하는 거면 빨리 해결해 줘야 하니까요
예전에 백업 하드도 없을 때 가족들 자료 다 저장되어 있는 나스 안 켜지면 해결될 때까지 다른 거 아무것도 못하겠더라고요 ㅠㅠ
나스 고장나면 고칠 때까지 로그인들은 어떻게 해야 하나 막막할 거 같긴 하네요..
랜섬웨어 같은 거만 아니면 해커들에 매력적인 타깃은 아닐 거 같긴 합니다 ㅎㅎ
valtwaden 사용하는 이유는 2차 인증(OTP) 도 사용 되서 쓰는건데요.
그거 아니면 그냥 bitrwaden 무료 이용하시는게 보안상(관리상) 더 편할걸요?
근데 저는 맥/윈도우/아이폰/아이패드 사용중이라 너무 편하게 잘 쓰고 있네요.,.
서버포럼에 있는 구글 OTP같은거 등록해서 쓰는 거 맞을까요?
사실 사이트들 가입하면서 이런 2차 인증을 본 적이 없어서 많이 생소하네요 ㅠ 로그인할 때마다 폰 꺼내기 귀찮을 거 같기도 하고..
당장 로그인할 때도 핸드폰의 경우 삼성패스가 팝업으로 떠서 바로 지문인식을 하거나
컴퓨터의 경우 필드에 커서 올려놓을 필요 없이 계정 목록이 바로 떠서 더 편했는데
적응이 안 되어서 그런지 아직 불편한 거 같습니다 ㅠ
암튼 멀티플렛폼 써야 장점이 있습니다.
cmt alert
신고
"님의 댓글"
이 댓글을 신고하시겠습니까?
