Менеджер паролей KeePassXC: открытый и без привязки
KeePassXC — локальный и открытый менеджер паролей, хранящий все данные в одном офлайн-хранилище KDBX под вашим полным контролем.
Используйте его как менеджер паролей на Linux, а затем открывайте тот же сейф на Android с помощью проверенных приложений KeePassDX или KeePass2Android.
Содержание
Почему KeePassXC остаётся самым безопасным выбором
Безопасность, удобная для аудита
KeePassXC полностью открытый, вы можете проверить код и исключить скрытую телеметрию.
Локальные хранилища
Ваш KDBX-файл хранится офлайн, пока вы сами не решите синхронизировать его.
Кроссплатформенный доступ
Одна переносимая база KDBX работает на Linux, Windows, macOS и Android.
- Надёжное шифрование по умолчанию с Argon2id и современными алгоритмами.
- Поддержка аппаратных токенов (YubiKey, Nitrokey) для ключевых файлов или challenge-response.
- Без подписок и платных функций — безопасность без доплат.
Рекомендуемый аппаратный ключ для KeePassXC
Один переносимый файл хранилища везде
Ваша база KeePass — это один .kdbx файл. Храните KDBX на зашифрованной USB-флешке, приватном Git-репозитории или собственном хранилище.
Открытие на другом устройстве не требует аккаунта — только мастер-пароль (и ключевой файл, если настроен).
Используйте синхронизацию с версионированием (Syncthing или Git) для избежания конфликтов и офлайн-резервных копий. Расшифровка происходит локально, ваши данные не передаются сторонним серверам.
Официальные приложения и проверенные клиенты
Используйте поддерживаемые клиенты, соответствующие открытому стандарту KeePass.
| Платформа | Пакет или исходники | Примечания |
|---|---|---|
| Linux | Репозитории дистрибутивов, Flatpak, AppImage | Предпочитайте пакеты дистрибутива для обновлений; Flatpak обеспечивает изоляцию. |
| Windows | Подписанный установщик, портативная версия | Включите авто-блокировку при возобновлении и используйте Windows Hello только для удобства разблокировки. |
| Android | KeePassDX (F-Droid) или KeePass2Android | Включите очистку буфера обмена, биометрию только для локальной разблокировки. |
| Браузеры | KeePassXC-Browser (Firefox/Chromium) | Использует запущенный десктоп-клиент — облачный мост не нужен. |
Контрольный список для надёжного хранилища
- Создайте длинный уникальный мастер-пароль и при необходимости добавьте офлайн-ключевой файл.
- Используйте Argon2id с большой памятью (64–128 МБ) и итерациями для замедления перебора.
- Группируйте записи, добавляйте теги и храните TOTP-секреты для генерации кодов офлайн.
- Включите автоматическую блокировку при бездействии, спящем режиме или блокировке экрана.
- Создайте резервную копию .kdbx и ключевого файла в зашифрованном удалённом хранилище.
Рекомендуемые сценарии использования
Десктоп на Linux и Windows
- Запускайте KeePassXC с интеграцией в браузер только для доверенных профилей.
- Используйте переадресацию SSH-агента из KeePassXC для доступа к Git или серверу, чтобы не хранить ключи на диске.
- Храните секреты инфраструктуры (API-токены, логины баз данных) в отдельных группах записей для каждого проекта.
Android
- Устанавливайте из F-Droid, чтобы избежать трекеров и обеспечить воспроизводимые сборки.
- Храните базу в зашифрованном хранилище устройства; избегайте облачных папок сторонних сервисов.
- Включайте быструю разблокировку по биометрии только после однократного ввода мастер-пароля за сессию.
Стратегии синхронизации и резервного копирования
Выберите модель синхронизации, при которой KDBX-файл остаётся под вашим контролем:
- Syncthing: одноранговая, сквозное шифрование, отлично подходит для семейного или командного использования.
- Git : история версий с подписанными коммитами; избегайте публичных репозиториев и регулярно меняйте данные.
- Самостоятельное хранилище: WebDAV или SFTP на вашем сервере с аутентификацией по ключу.
- Офлайн-ротация: периодическое копирование на зашифрованный диск вне офиса для восстановления после атак.
Приложения, которые я не рекомендую
Эти сервисы усложняют работу, скрывают функции за платой или имеют историю инцидентов:
- LastPass: многочисленные утечки и ключевые функции доступны только в Pro-версии.
- Dashlane: только облачная модель с ограниченным контролем над хранилищем.
- 1Password: закрытый синхронизирующий сервер и доступ только по подписке.
- Bitwarden: только облачные планы: удобно, но лучше использовать собственный сервер или KeePassXC для контроля.
Часто задаваемые вопросы
Все ответы о KeePassXC, файлах KDBX и безопасной синхронизации.
Дополнительные материалы и внутренние ресурсы
Продолжайте укреплять защиту приватности с помощью этих руководств: