چرا مدیر گذرواژه گران‌قیمتم را کنار گذاشتم و به این جایگزین رایگان و کارآمد روی آوردم

پس از پنج سال استفاده و پرداخت ۳۰۰ دلار برای 1Password، سرانجام به این مدیر گذرواژهٔ رایگان و کارآمد، یعنی KeePass، مهاجرت کردم. تنها افسوسم این است که چرا زودتر این کار را نکردم.

می‌خواستم اختیار کامل داده‌هایم را در دست داشته باشم

دیگر نمی‌خواستم به فضای ابری دیگران اعتماد کنم

فاصله‌گرفتن 1Password از خزانه‌های محلی ناگهانی نبود، اما قواعد بازی را برای همیشه تغییر داد. پرداخت سالانه ۶۰ دلار دیگر چندان منطقی به نظر نمی‌رسید؛ به‌ویژه وقتی هر گذرواژه، یادداشت یا کلید مجوز، خواسته یا ناخواسته، باید در فضای ابری این شرکت نگهداری می‌شد.

با KeePass، پایگاه دادهٔ گذرواژه‌هایم دقیقاً همان‌جایی قرار دارد که می‌خواهم: روی SSD لپ‌تاپم، با همگام‌سازی از طریق حساب Dropbox. فایل KDBX متعلق به خودم است، با AES-۲۵۶ رمزگذاری می‌شود و KeePass تمام محتوای پایگاه داده، از جمله گذرواژه‌ها، نام‌های کاربری، یادداشت‌ها و پیوست‌ها را رمزگذاری می‌کند.

این تصمیم بیش از آنکه از بدگمانی ناشی شود، به ترجیح شخصی مربوط است. وقتی شرکت‌هایی مانند Target، Equifax و حتی LastPass دچار رخنهٔ امنیتی می‌شوند، نگهداری محلی داده‌ها دیگر زیاده‌روی به نظر نمی‌رسد و بیشتر به عقل سلیم شباهت دارد. KeePass تاکنون در هیچ رخنهٔ داده‌ای دخیل نبوده و حتی ادارهٔ فدرال امنیت اطلاعات آلمان (BSI) استفاده از آن را توصیه می‌کند.

پایگاه دادهٔ KeePass من از دو بار تعویض لپ‌تاپ، سه بار نصب دوبارهٔ سیستم‌عامل و یک قالب‌بندی ناخواسته جان سالم به در برده است. هر بار کافی بود فایل KDBX را دوباره کپی کنم و گذرواژهٔ اصلی‌ام را وارد کنم.

هزینهٔ اشتراک دیگر توجیهی نداشت

هزینهٔ اشتراک‌ها خیلی زود سر به فلک می‌کشد

دلیل دیگر این جابه‌جایی، افزایش هزینهٔ استفاده از مدیران گذرواژهٔ پولی بود. طرح خانوادگی 1Password برای من سالانه ۶۰ دلار هزینه داشت. برخلاف LastPass یا Bitwarden که نسخه‌های رایگان محدودی ارائه می‌کنند، 1Password هیچ گزینهٔ رایگانی ندارد؛ بنابراین از روز پانزدهم و پس از پایان دورهٔ آزمایشی باید هزینه بپردازید. این مبلغ طی پنج سال به ۳۰۰ دلار می‌رسد؛ پولی که برای خرید یک تبلت مناسب یا سفری کوتاه در آخر هفته کافی است.

برای قابلیت‌هایی پول می‌دادم که به‌ندرت از آن‌ها استفاده می‌کردم؛ در واقع، هزینه می‌پرداختم تا به گذرواژه‌های خودم دسترسی داشته باشم. در زمینهٔ قابلیت‌های ضروری نیز KeePass به‌خوبی نیازهایم را برآورده می‌کند. طرح کنونی Dropbox من همگام‌سازی ابری را پوشش می‌دهد، یکپارچگی با مرورگر از طریق افزونه‌های KeePass فراهم می‌شود و ابزار ساخت گذرواژه در KeePass نیز بهتر است، زیرا گزینه‌های بیشتری نسبت به 1Password برای تنظیم در اختیارم می‌گذارد.

برای نگهداری امن فایل‌ها، 1Password در طرح‌های شخصی سقف 1GB دارد، در حالی که KeePass فایل‌هایی تا اندازهٔ 4GB را پشتیبانی می‌کند. من فقط برای آسودگی بیشتر پول می‌دادم و حتی همان آسودگی نیز بی‌قیدوشرط نبود.

هر سال، این اشتراک بیش از پیش شبیه مالیاتی بر تنبلی به نظر می‌رسید. وقتی جایگزین‌های رایگان وجود دارند، چرا باید همچنان پول پرداخت کرد؟ آن ۶۰ دلار را می‌توان صرف تجهیزات امنیتی واقعی کرد؛ برای نمونه، خرید یک کلید امنیتی YubiKey برای ایمن نگه‌داشتن حساب‌ها. هزینهٔ KeePass دقیقاً صفر دلار است، چه یک گذرواژه در آن نگه دارید و چه ده‌هزار گذرواژه.

الگوی اشتراکی همچنین شما را در یک سامانه گرفتار می‌کند. به‌محض آنکه پرداخت را متوقف کنید، دسترسی کاملتان به گذرواژه‌ها محدود می‌شود. اما KeePass برای همیشه کار می‌کند؛ حتی اگر یک دهه از اینترنت جدا باشم، باز هم می‌توانم به گذرواژه‌هایم دسترسی داشته باشم.

شفافیت نرم‌افزار متن‌باز برایم اهمیت دارد

همه می‌توانند کد را بررسی کنند

ابزارهای متن‌باز در معرض بررسی همگانی قرار دارند؛ یعنی هر کسی می‌تواند کد آن‌ها را بازبینی و ممیزی کند. در ممیزی جامع EU-FOSSA در سال ۲۰۱۶ [PDF]، کد KeePass بررسی شد و هیچ آسیب‌پذیری بحرانی یا پرخطری، تله‌متری پنهان، تحلیل رفتار کاربر یا گردآوری ناشناس داده در آن یافت نشد.

مدیران گذرواژهٔ تجاری شیفتهٔ نمایش‌های امنیتی‌اند. از معماری «دانش صفر» و زیرساخت ابری امن خود سخن می‌گویند، اما در نهایت باید حرفشان را باور کنید. در مقابل، هزاران پژوهشگر امنیتی کد KeePass را بررسی کرده‌اند. حتی هنگامی که آسیب‌پذیری‌ای کشف می‌شود، جامعه آن را شناسایی و گزارش می‌کند و بی‌درنگ برای برطرف‌کردنش دست به کار می‌شود.

تفاوت نگرشی آن نیز برایم ارزشمند است. KeePass از آن رو پدید آمد که یک برنامه‌نویس مدیر گذرواژهٔ بهتری می‌خواست و ۲۲ سال پیوسته آن را بهبود داد؛ نه برای آنکه روزی با فروشش سودی به جیب بزند یا کسب‌وکاری نوپا بنا کند، بلکه برای حل یک مشکل و به‌اشتراک‌گذاشتن راه‌حل. این همان روحیهٔ متن‌باز است که با رویکردهای تجاری تفاوت دارد. هنگامی که 1Password به چارچوب Electron مهاجرت کرد و برنامه‌های بومی را با نسخه‌ای مبتنی بر وب جایگزین ساخت، کشمکش ذاتی میان نیازهای تجاری و تجربهٔ کاربری را آشکار کرد؛ کشمکشی که پروژه‌های متن‌باز کمتر با آن روبه‌رو هستند.

KeePass روی همهٔ دستگاه‌هایم کار می‌کند

یک پایگاه داده برای همهٔ سکوها

روی رایانه‌ام ویندوز و روی گوشی‌ام اندروید دارم. بیشتر مدیران گذرواژه از پس این ترکیب به‌خوبی برمی‌آیند، اما KeePass به من اجازه می‌دهد همه‌چیز را دقیقاً همان‌طور که می‌خواهم سامان بدهم.

در ویندوز از نسخهٔ اصلی KeePass ۲.x همراه با چند افزونه استفاده می‌کنم. درست است که رابط کاربری‌اش انگار از ویندوز XP به‌جا مانده است، اما کارش را به‌خوبی انجام می‌دهد. KeePass به‌طور محسوسی سریع‌تر از 1Password ۷ است. روی گوشی اندرویدی‌ام KeePass2Android نصب است که با قابلیت تکمیل خودکار سیستم یکپارچه می‌شود و حتی آفلاین هم کار می‌کند. اگر آیفون دارید، می‌توانید از میان KeePassium و Strongbox یکی را برگزینید.

بااین‌حال، اگر ظاهر قدیمی برنامه دل‌زده‌تان می‌کند، شاید KeePassXC بیشتر به کارتان بیاید. این انشعاب جامعه‌محور همان فایل‌های KDBX را می‌خواند، اما ظاهرش دیگر یادآور برنامه‌ای به‌جامانده از سال ۲۰۰۳ نیست. بخشی از سازگاری با افزونه‌ها را از دست می‌دهید، ولی در عوض، یکپارچگی داخلی با مرورگر و پشتیبانی از TOTP را بدون دردسر راه‌اندازی به دست می‌آورید. راه‌اندازی KeePassXC حتی از نسخهٔ اصلی KeePass هم ساده‌تر است؛ این کار حدود ۱۰ دقیقه زمان می‌برد، درحالی‌که من یک ساعت صرف پیکربندی افزونه‌ها کردم.

همگام‌سازی از راه Dropbox انجام می‌شود. اگر هم‌زمان روی دو دستگاه تغییراتی ایجاد شود، KeePass تداخل‌ها را به‌خوبی مدیریت می‌کند؛ تغییرات را با هم درمی‌آمیزد و هر دو نسخه را در تاریخچه نگه می‌دارد. البته جابه‌جایی میان سرویس‌های همگام‌سازی به روانی 1Password نیست؛ باید فایل پایگاه داده را به سرویس تازه منتقل کنید و سپس نشانی آن را در KeePass روی تک‌تک دستگاه‌ها به‌صورت دستی تغییر دهید. این روند چندان یکپارچه نیست، اما در برابر انعطافی که به من می‌دهد، چنین بده‌بستانی را می‌پذیرم.

این انعطاف‌پذیری به احراز هویت هم می‌رسد. من در کنار گذرواژه، از یک فایل کلید ذخیره‌شده روی حافظهٔ USB استفاده می‌کنم. برای باز کردن پایگاه داده به هر دو نیاز دارم و اگر یکی از آن‌ها را از دست بدهم، پایگاه داده همچنان قفل می‌ماند. برخی حتی یکپارچگی با حساب کاربری ویندوز را نیز به‌عنوان عامل سوم می‌افزایند.

راه‌اندازی یکپارچگی با مرورگر کمی زمان برد، اما اکنون دقیقاً همان‌طور کار می‌کند که می‌خواهم. از افزونه‌های KeePass مانند KeePassHttp در کنار افزونه‌های مرورگری سازگار با آن استفاده می‌کنم و برای موارد دیگر نیز توالی‌های سفارشی Auto-Type ساخته‌ام. هرچند گاهی ارتباط مرورگر با KeePass قطع می‌شود و به تازه‌سازی نیاز دارد و هنگام راه‌اندازی نیز باید سایت‌های تازه را تأیید کنم، قابلیت Auto-Type پس از پیکربندی از تکمیل خودکار 1Password بسیار انعطاف‌پذیرتر است.

مهاجرت آسان‌تر از انتظارم بود

از آغاز تا پایان، تنها دو ساعت

کل فرایند مهاجرت حدود دو ساعت طول کشید. ابتدا داده‌هایم را از 1Password با قالب CSV برون‌بری و سپس در KeePass درون‌ریزی کردم؛ برنامه‌ای که از بیش از ۳۵ قالب، از جمله قالب‌های 1Password، Dashlane، LastPass و Bitwarden پشتیبانی می‌کند. بعد هم یک ساعت دیگر صرف دسته‌بندی مدخل‌ها در پوشه‌ها و تنظیم Auto-Type برای سایت‌های پرکاربردم کردم.

تنها چالش جدی، پیکربندی همگام‌سازی بود؛ زیرا KeePass قابلیت داخلی همگام‌سازی ابری ندارد. طبق مستندات KeePass، پایگاه داده‌ام را در پوشه‌ای در Dropbox ذخیره کردم و سپس همان پوشه را در KeePass2Android روی گوشی اندرویدی‌ام به‌عنوان پوشهٔ پایگاه داده برگزیدم. پس از راه‌اندازی، آن‌قدر خوب کار می‌کند که فراموش می‌کنم این قابلیت داخلی نیست. وقتی چیزی را روی گوشی ویرایش می‌کنم، تغییرات چند ثانیه بعد روی لپ‌تاپم نمایان می‌شوند.

فقط به یاد داشته باشید که برای جلوگیری از گم‌شدن تغییرات یا بروز تداخل، بهتر است پایگاه داده را هم‌زمان روی بیش از یک دستگاه ویرایش نکنید و پیش از ویرایش آن در دستگاهی دیگر، همیشه اجازه دهید همگام‌سازی Dropbox کامل شود.

حالا که به گذشته نگاه می‌کنم، دلتنگ قابلیت‌هایی نیستم که زمانی وجودشان را برای یک مدیر گذرواژه ضروری می‌دانستم. برای نمونه، پیش‌تر برای پایش رخنه‌های امنیتی به Watchtower تکیه می‌کردم، اما اکنون کافی است مرتب Have I Been Pwned را برای یافتن رخنه‌های احتمالی بررسی کنم. به‌جای استفاده از Travel Mode نیز مدخل‌های حساس را با همگام‌نکردنشان روی گوشی مدیریت می‌کنم. برای خزانه‌های اشتراکی هم پایگاه داده‌ای جداگانه برای گذرواژه‌های خانواده ساخته‌ام که نیازهای ما را کاملاً برآورده می‌کند.

پس از دو ماه، ۱۰ دلار پس‌انداز کرده‌ام، کنترل کامل را به دست آورده‌ام و مدیر گذرواژه‌ام را از سیر تا پیاز شناخته‌ام. اینکه همسرم به این آسانی با KeePass2Android کنار آمد، نشان می‌دهد این برنامه برخلاف ظاهر اولیه‌اش چندان هراس‌انگیز نیست. تغییری که ابتدا پسرفت به نظر می‌رسید، دقیقاً همان چیزی از آب درآمد که نیاز داشتیم.

اگر مالکیت کامل امنیت دیجیتال خود برایتان مهم است و از کمی راه‌اندازی اولیه واهمه ندارید، KeePass چیزی در اختیارتان می‌گذارد که مدیران گذرواژهٔ تجاری از ارائه‌اش ناتوان‌اند: کنترل کامل بر داده‌ها، بدون هزینه‌های همیشگی. بله، گزینه‌های پولی راه‌اندازی بی‌دردسرتر و رابط‌های کاربری صیقل‌خورده‌تری دارند، اما من دریافتم که برای قابلیت‌هایی پول می‌دادم که عملاً از آن‌ها استفاده نمی‌کردم.

بد برداشت نکنید؛ 1Password در کاری که انجام می‌دهد عالی است. اما با KeePass، گذرواژه‌هایم واقعاً در اختیار خودم هستند، داده‌هایم را خودم کنترل می‌کنم و هر ماه پول کمتری می‌پردازم. اگر حسرتی داشته باشم، این است که چرا زودتر این تغییر را انجام ندادم.

منبع: این مطلب ترجمه و بومی‌سازی مقاله‌ای از MakeUseOf به قلم Tashreef Shareef است. مشاهده مقاله اصلی