Eine offene Plattform fuer Zugangsdaten technischer Teams. Der Tresor liegt auf dem eigenen Server, Browser, Telefon und Kommandozeile lesen dieselben Daten, und die Schluessel entstehen beim Client.

Gemeinsame Zugangsdaten und der Aerger beim Teilen

Ein Team hat mehr Konten als Menschen. Server, Datenbanken, interne Systeme, Konten fuer Partner: Kennwoerter wandern zwischen Verlaufsprotokollen, Tabellen und Notizzetteln, und hinterher kann niemand sagen, wer eines geaendert, wer hineingesehen hat und ob der Zugang beim Ausscheiden entzogen wurde. Genau an dieser Stelle arbeitet Passbolt. Es nennt sich eine Plattform fuer Zugangsdaten von Teams, richtet sich an solche mit wachem Sicherheitsbewusstsein und betont, dass eine Gruppe von fuenf und eine Organisation von fuenftausend beide passen.

Die genannte Groesse sind mehr als fuenfzigtausend Organisationen weltweit, mit Regierungsstellen, Verteidigungseinrichtungen und Unternehmen der Informationstechnik unter den aufgezaehlten Bereichen. Der Hersteller Passbolt SA sitzt in Luxemburg, behandelt in Europa gefertigt als offizielles Verkaufsargument und gibt an, der FIDO Allianz beigetreten zu sein.

Der Tresor in eigener Hand: Selbstbetrieb, Container oder Cloud

Die Form des Produkts legt fest, wo die Daten liegen. Selbstbetrieb ist die Hauptlinie, installiert auf dem eigenen Server oder innerhalb der Firewall, und angeboten werden ein direkter Paketeinbau, Container Orchesterierung oder eine Einrichtung aus dem Quelltext. Die Sicherheitsseite merkt an, dass es in einer abgeschotteten Umgebung laufen kann, also mit einer Maschine ohne jede Verbindung nach aussen, was fuer abgeschottete und streng geregelte Umgebungen eine harte Forderung ist. Das Skript zur Einrichtung deckt die gaengigen Linux Verteilungen ab, und Abbilder fuer Container und fuer virtuelle Maschinen bieten zwei Abkuerzungen.

Fuer Teams, die keinen Server pflegen wollen, gibt es eine gehostete Fassung in Europa, mit Rechenzentren innerhalb der Europaeischen Union und jedem Kundenbereich in einer eigenen Datenbank mit logischer Trennung. Selbstbetrieb und Cloud teilen dieselben Clients, ein Wechsel bedeutet also kein Umlernen.

Verschluesselung von Ende zu Ende und das Modell der OpenPGP Schluessel

Was dieses Werkzeug vom ueblichen Online Tresor trennt, ist der Ort der Verschluesselung. Passbolt steht auf OpenPGP, dem offenen Standard, und jedes Mitglied erzeugt ein Schluesselpaar vor Ort: der oeffentliche Schluessel geht zum Server, der eigene bleibt auf dem Geraet, und der urspruengliche Wortlaut sagt, der eigene Schluessel laufe nie ueber den Server. Beim Teilen eines Eintrags wird er mit dem oeffentlichen Schluessel des Empfaengers verschluesselt, und nur wer den passenden eigenen Schluessel hat, kann ihn oeffnen.

Eine Ebene feiner ist die Verschluesselung je Eintrag. Jeder Datensatz wird mit einem eigenen Schluessel behandelt, ein Abfluss zieht also nicht den Rest mit, und der Schluessel wechselt bei jeder Aktualisierung, was verhindert, dass ein einziger Schluessel jahrelang geteilt wird. Die Anmeldung verlangt voreingestellt den eigenen Schluessel plus ein Kennwort, also zwei Faktoren, und eine zusaetzliche Ebene mit mehreren Faktoren ist verfuegbar. Gegen Taeuschung zeigt die Oberflaeche ein Merkmal aus drei Buchstaben mit einer Farbe und prueft es gegen die Adresse, was eine nachgemachte Seite schwer durchkommen laesst.

Browser, Telefon und Kommandozeile auf einem Tresor

Die Abdeckung der Clients ist eine Staerke des Projekts. Die Erweiterung im Browser ist die Haupttuer und uebernimmt das Fuellen, das Erzeugen starker Kennwoerter und den Abgleich der Adresse, Anwendungen fuer das Telefon suchen und fuellen unterwegs, und fuer den Schreibtisch gibt es ein eigenes Programm. Alle drei lesen dieselben verschluesselten Daten, ein Fall von geaendert hier und alt dort kommt also nicht vor.

Der Weg fuer Betrieb und Entwicklung ist ein Werkzeug fuer die Kommandozeile plus eine JSON Schnittstelle. Die genannten Befehle decken Anlegen, Loeschen, Ausfuehren, Lesen, Auflisten, Verschieben und Teilen ab, was erlaubt, das Holen eines Kennworts in ein Skript einer Kette zu legen: waehrend einer Auslieferung als Umgebungsvariable einsetzen, danach verwerfen und den Zugang ausserhalb des Archivs halten. Die Schnittstelle ist vollstaendig offen, und ein SDK steht fuer eine eigene Anzeige bereit. Das Kennzeichen der Veroeffentlichung im offiziellen Archiv steht derzeit bei 5.16.0.

Ebenen der Rechte, Spur der Pruefung und drei Lizenzstufen

Bei Zusammenarbeit haengt alles daran, wie fein die Rechte geschnitten sind. Passbolt ordnet sie in drei Ebenen: Ordner, Gruppen und Rollen. Ein eigener Ordner gehoert einer Person, ein geteilter Ordner wird je Gruppe gewaehrt, und die Rollen folgen der Steuerung des Zugangs ueber Rollen zusammen mit zwei Grundsaetzen, naemlich nur das Noetige zu gewaehren und es im richtigen Moment zu gewaehren, sodass Zugang bei Bedarf aufgeht und gleich danach wieder zugeht, und die Seite merkt an, dass dieser Entzug auch auf der Ebene der Schluessel wirkt.

Zur Spur koennen Verwalter ein Protokoll der Taetigkeiten lesen, das zeigt, wer wann welchen Zugang geholt, geaendert oder geteilt hat, und es laesst sich im Format eines Systemprotokolls ausgeben, wenn ein bestehendes System gefuettert werden muss. Bei den Nachweisen nennt die Seite einen Bericht nach SOC 2 Type II und die Einhaltung der GDPR, sagt, dass mindestens einmal im Jahr ein unabhaengiger Durchdringungstest von Dritten laeuft, fuegt ein Programm fuer gefundene Luecken hinzu und veroeffentlicht die Berichte. Daten im Ruhezustand sind in der Cloud mit AES in 256 Bit verschluesselt.

Die Lizenzierung laeuft in drei Stufen. Die Gemeinschaftsfassung ist offen unter AGPLv3, dauerhaft kostenlos, ohne Obergrenze bei den Mitgliedern, und enthaelt Verwaltung von Kennwoertern und Ordnern, Nutzer und Gruppen, Zwei Faktoren, Erweiterung im Browser und Kommandozeile, die offene Schnittstelle und die Steuerung ueber Rollen. Pro ergaenzt Kennzeichnungen, Abgleich mit einem Verzeichnisdienst, einmalige Anmeldung, Wiederherstellung von Konten und das Protokoll, zu einem veroeffentlichten Preis von 4.9 Dollar je Nutzer im Monat bei jaehrlicher Zahlung, ab zehn Nutzern, mit Mengenrabatt ueber hundert. Enterprise wird auf Anfrage angeboten und ergaenzt Beratung zu hoher Verfuegbarkeit und Notfall, begleiteten Umzug und kuerzere Antwortzeiten. Die Linie gibt am zweiten Mittwoch jedes Monats eine Fassung heraus, und die Reihenfolge der Vorhaben bestimmt die Gemeinschaft per Abstimmung.

Wenn die Kennwoerter eines Teams auf dem eigenen Server bleiben sollen und jeder Abruf belegbar sein muss, bietet Passbolt eine ganze Kette: Verschluesselung von Ende zu Ende auf Basis von OpenPGP, drei Arten von Client auf einem Tresor, Rechte und Pruefung Ebene fuer Ebene, eine Gemeinschaftsfassung zur freien Nutzung und die fortgeschrittenen Faehigkeiten nach Anzahl der Mitglieder.