اگر رمزهای عبور اعضای تیم شما در پیام‌رسان‌ها ردوبدل می‌شوند یا در فایل‌های اکسل مشترک قرار می‌گیرند، احتمال افشای اطلاعات و از دست رفتن کنترل دسترسی‌ها بالا می‌رود. برای مدیریت امن این اطلاعات، ابزارهای تخصصی مختلفی وجود دارند که یکی از آن‌ها Passbolt است. اما Passbolt چیست و چه کمکی به امنیت اطلاعات سازمان می‌کند؟ این نرم‌افزار متن‌باز امکان ذخیره‌سازی رمزهای عبور و اشتراک‌گذاری کنترل‌شدهٔ آن‌ها را میان اعضای مجاز تیم فراهم می‌کند.
در ادامۀ این مطلب از مجلۀ VPSmarket، قابلیت‌ها، نسخه‌های مختلف و پیش‌نیازهای راه‌اندازی سرور Passbolt را بررسی می‌کنیم تا بتوانید متناسب با نیازهای سازمان خود تصمیم بگیرید.
مدیریت منابع و مخزن‌های اشتراکی در Passbolt
در Passbolt، هر اطلاعات ورودی به‌صورت یک «منبع» (Resource) ثبت می‌شود. این منبع شامل نام حساب، نام کاربری، رمز عبور، نشانی وب‌سایت، یادداشت محرمانه یا اطلاعات تکمیلیِ موردنیاز برای اتصال به یک سرویس است. کاربران می‌توانند این منابع را در پوشه‌های شخصی یا اشتراکی سازمان‌دهی کنند تا دسترسی به اطلاعات دقیقاً با ساختار تیم‌ها و مسئولیت‌های افراد هماهنگ باشد.
پوشه‌های شخصی برای نگهداری اطلاعاتی مناسب هستند که فقط یک کاربر با آن‌ها سروکار دارد؛ در مقابل، پوشه‌های اشتراکی امکان مدیریت مجموعه‌ای از اطلاعات مرتبط با یک پروژه، واحد سازمانی یا گروه فنی را می‌دهند. برای مثال، تیم پشتیبانی اطلاعات ورود به پنل‌های مشتریان را در پوشه‌ای مشخص نگه می‌دارد و تیم زیرساخت، پوشهٔ جداگانه‌ای برای اطلاعات ورود به سرورها دارد. با این تفکیک، اطلاعات در محیطی منظم‌تر نگهداری می‌شوند و کاربران برای یافتن رمز موردنیاز خود مجبور نیستند سراغ فایل‌های پراکنده یا پیام‌های قدیمی بروند.
یکی از نکات مهم در این ساختار، تفاوت میان «نقش کاربر در سازمان» و «سطح دسترسی او به یک منبع» است. مدیر سامانه، کاربر عادی و مدیر گروه اختیارات یکسانی ندارند؛ ضمن اینکه دسترسی هر کاربر به یک رمز عبور مشخص را می‌توان مستقل از دسترسی او به سایر منابع تنظیم کرد. به همین دلیل، برای مدیریت درست اطلاعات باید هم ساختار کاربران و گروه‌ها و هم مجوزهای هر منبع به‌دقت بررسی شود.
Passbolt چه کاربردی دارد؟
در شرکت‌ها و تیم‌های فنی، اطلاعات ورود متعددی وجود دارد؛ از رمز عبور پنل مدیریت سایت گرفته تا مشخصات اتصال به پایگاه داده، حساب سرویس‌های ابری و دسترسی به تجهیزات شبکه. نگهداری این حجم از اطلاعات در فایل‌های متنی یا فرستادن آن‌ها در پیام‌رسان‌ها، ریسک لو رفتن اطلاعات و دسترسی افراد غیرمجاز را افزایش می‌دهد.
Passbolt امکان ثبت، دسته‌بندی و مدیریت متمرکز این اطلاعات را در یک محیط امن به شما می‌دهد. در کنار این موارد، کاربران با قابلیت تولید گذرواژه می‌توانند رمزهای تصادفی و قوی‌ای بسازند تا استفاده از رمزهای ساده، تکراری و قابل پیش‌بینی به حداقل برسد.
این نرم‌افزار تحت مجوز متن‌باز AGPLv3 منتشر می‌شود و نسخهٔ Community آن به سازمان‌ها اجازه می‌دهد بدون پرداخت هزینهٔ مجوز نرم‌افزار، سامانه را روی زیرساخت خودشان اجرا کنند. در مقابل، نسخه‌های تجاری امکانات مدیریتی و خدمات تکمیلی ارائه می‌دهند. بنابراین، اگر بخواهیم بدانیم کاربرد اصلی Passbolt چیست، نباید آن را فقط به ذخیرهٔ رمزهای عبور محدود کنیم؛ بلکه این ابزار بخشی از راهبرد مدیریت دسترسی و حفاظت از اطلاعات حساس مجموعه به شمار می‌رود.
اشتراک‌گذاری اطلاعات میان اعضا
فرض کنید شرکتی برای مدیریت وب‌سایت خود از چند حساب مدیریتی استفاده می‌کند و اعضای تیم پشتیبانی هم باید به برخی از این حساب‌ها دسترسی داشته باشند. در روش سنتی، رمز عبور برای تمام اعضا ارسال می‌شود و پس از خروج یک کارمند، مشخص نیست چه کسانی هنوز به آن حساب دسترسی دارند.
در Passbolt، مدیر یا مالک اطلاعات، گذرواژهٔ موردنظر را فقط با افراد یا گروه‌های مشخصی به اشتراک می‌گذارد و سطح دسترسی اعضا را بر اساس مسئولیت‌هایشان تنظیم می‌کند. هر زمان هم که یکی از اعضا دیگر به اطلاعات نیازی نداشت، مجوزهای او به‌سادگی اصلاح می‌شود. البته تغییر دسترسی به یک منبع به‌تنهایی به معنی عوض شدن خودِ رمز عبور نیست؛ یعنی اگر احتمال افشای رمز وجود داشته باشد، باید خود گذرواژه را هم تعویض کنید.
این روش به‌ویژه زمانی کارآمد است که تعداد کاربران زیاد باشد یا چند تیم به اطلاعات متفاوتی نیاز داشته باشند. ساختار گروهی به مدیران اجازه می‌دهد به‌جای ارسال جداگانهٔ اطلاعات، تمام دسترسی‌ها را در یک محیط مرکزی مدیریت کنند.
استفاده در تیم‌های DevOps
تیم‌های توسعه و عملیات (DevOps) برای استقرار برنامه‌ها، مدیریت زیرساخت و رفع خطا به اطلاعات حساس متعددی نیاز دارند. گذرواژهٔ سرورها، اعتبارنامه‌های سرویس‌ها و سایر اسرار فنی باید به شکلی نگهداری شوند که دسترسی به آن‌ها محدود، کنترل‌پذیر و قابل‌مدیریت باشد.
این تیم‌ها از Passbolt برای مدیریت و اشتراک‌گذاری امن این اطلاعات میان اعضای مجاز استفاده می‌کنند. برای مثال، اعضای تیم می‌توانند اطلاعات ورود به محیط آزمایشی (Staging) را از محیط عملیاتی (Production) جدا کنند و برای هر گروه، مجوز متناسب با وظایفش را در نظر بگیرند.
بااین‌حال، این ابزار جایگزین کامل سامانه‌های تخصصی مدیریت اسرار (Secrets Management) در فرایندهای خودکار نیست. انتخاب راهکار مناسب به نوع اطلاعات، نحوهٔ استقرار برنامه‌ها، روش احراز هویت سرویس‌ها و میزان خودکارسازی گردش‌کارهای سازمان بستگی دارد. در پروژه‌هایی که برنامه‌ها باید به‌صورت خودکار به اعتبارنامه‌ها دسترسی پیدا کنند، ارزیابی روش یکپارچه‌سازی و محدود کردن سطح دسترسی اهمیت ویژه‌ای پیدا می‌کند.
Passbolt چگونه کار می‌کند و رمزنگاری سرتاسری چیست؟
رمزنگاری سرتاسری (End-to-End Encryption) روشی است که در آن اطلاعات روی دستگاه کاربر رمزگذاری می‌شوند و فقط افراد دارای کلیدهای مجاز می‌توانند آن‌ها را رمزگشایی کنند. در Passbolt هم گذرواژه‌ها و اطلاعات محرمانه پیش از ارسال به سرور رمزگذاری می‌شوند؛ بنابراین سرور Passbolt برای ذخیره و انتقال این اطلاعات به متن آشکار (Plaintext) آن‌ها نیازی ندارد.
با این معماری، مدیر سرور یا ارائه‌دهندهٔ میزبانی نمی‌تواند صرفاً با مشاهدهٔ اطلاعات ذخیره‌شده، متن اصلی گذرواژه‌ها را بخواند. البته این ویژگی به معنی مصونیت کامل در برابر تمام تهدیدهای امنیتی نیست و آلوده‌بودن دستگاه کاربر، نصب افزونهٔ جعلی، افشای کلید خصوصی یا اعطای دسترسی نامناسب همچنان خطرآفرین است.
کلید عمومی و کلید خصوصی چه نقشی دارند؟
Passbolt از استاندارد رمزنگاری باز (OpenPGP) بهره می‌برد که در آن هر کاربر یک جفت کلید دارد: «کلید عمومی» برای رمزگذاری اطلاعاتی که قرار است کاربر دریافت کند به کار می‌رود، و «کلید خصوصی» وظیفهٔ رمزگشایی اطلاعات مربوط به او را بر عهده دارد و باید کاملاً محرمانه بماند.
هنگامی که گذرواژه‌ای با کاربر دیگری به اشتراک گذاشته می‌شود، نسخهٔ رمزگذاری‌شده‌ای از اطلاعات برای کلید عمومی او آماده می‌گردد تا آن کاربر بتواند اطلاعات را با کلید خصوصی خودش رمزگشایی کند. همین سازوکار به Passbolt اجازه می‌دهد اطلاعات را میان چند نفر به اشتراک بگذارد، بدون اینکه نیازی به یک رمز مشترک برای باز کردن کل مخزن باشد.
این فرایند نشان می‌دهد که چرا نگهداری امن کلید خصوصی و عبارت عبور (Passphrase) مربوط به آن تا این اندازه حیاتی است؛ چراکه در یک سامانهٔ رمزگذاری‌شده، صرفِ وجود نسخه‌ای از داده‌ها روی سرور تضمین نمی‌کند که در صورت گم شدن کلیدها بتوان اطلاعات را بازیابی کرد.
سرور و افزونۀ مرورگر چه وظیفه‌ای دارند؟
در این ساختار، سرور Passbolt مسئول نگهداری داده‌های رمزگذاری‌شده، مدیریت درخواست‌ها و ارائهٔ خدمات به کاربران است. در سمت مقابل، افزونهٔ مرورگر (یا برنامهٔ سازگار روی دستگاه کاربر) عملیات رمزنگاری و رمزگشایی اطلاعات را انجام می‌دهد و تعامل کاربر با سامانه را ممکن می‌کند.
این جداسازی، بخش مهمی از طراحی امنیتی محصول است. به همین دلیل، افزونهٔ مرورگر در اینجا فقط ابزاری برای پر کردن خودکار فرم‌ها نیست و نقش مستقیمی در حفاظت از اطلاعات دارد. برای استفادهٔ ایمن، همیشه افزونه را از منبع معتبر دریافت کنید و از نصب نسخه‌های ناشناس یا وارد کردن عبارت عبور در پنجره‌های مشکوک بپرهیزید.
3 قابلیت Passbolt
Passbolt امکان تعریف کاربران، تشکیل گروه‌ها و سازمان‌دهی دقیق اطلاعات را در اختیار سازمان‌ها می‌گذارد؛ برای مثال، می‌توان اطلاعات موردنیاز تیم پشتیبانی را از اطلاعاتی که فقط مدیران زیرساخت باید ببینند جدا کرد تا دسترسی‌های غیرضروری کاهش یابد.
1) تعیین سطح دسترسی
همان‌طور که اشاره شد، در Passbolt میان نقش کاربران در سامانه و سطح مجوز هر منبع تفاوت وجود دارد. طبق مستندات رسمی محصول، سه سطح اصلی دسترسی به منابع عبارت‌اند از:
- Owner (مالک): می‌تواند اطلاعات را ببیند و استفاده کند، آن را ویرایش یا حذف کند و مجوزهای اشتراک‌گذاری را تغییر دهد.
- Update (ویرایشگر): امکان مشاهده، استفاده، تغییر یا حذف اطلاعات را دارد، اما اختیار مدیریت مجوزهای اشتراک‌گذاری با دیگران را ندارد.
- Read (خواننده): فقط اجازهٔ مشاهده و استفاده از اطلاعات را دارد و نمی‌تواند محتوای منبع را ویرایش یا حذف کند یا مجوزهای اشتراک‌گذاری آن را تغییر دهد.
این تفکیک برای سازمان‌هایی که اطلاعات حساس را میان چند واحد توزیع می‌کنند اهمیت زیادی دارد؛ مثلاً یک کاربر برای مشاهدهٔ رمز ورود به سرویسی مجوز Read می‌گیرد، درحالی‌که فقط فرد مشخصی اجازهٔ تغییر رمز یا مدیریت اشتراک‌گذاری آن را دارد. در یک ساختار اصولی، دسترسی‌ها بر اساس نیاز واقعی هر فرد داده می‌شود و پس از تغییر مسئولیت یا خروج از سازمان، مجوزهای غیرضروری بازبینی می‌شوند.
2) تولید و تکمیل خودکار گذرواژه
قابلیت تولید گذرواژه به کاربران اجازه می‌دهد برای حساب‌های مختلف، رمزهای مستقل با طول و نوع نویسه‌های دلخواه بسازند تا استفاده از رمزهای ساده یا تکراری متوقف شود.
افزونهٔ مرورگر هم اطلاعات ورود ذخیره‌شده را هنگام مراجعه به وب‌سایت‌ها پیشنهاد می‌دهد و در فرم‌ها وارد می‌کند. هرچند این ویژگی زمان ورود اطلاعات را کاهش می‌دهد، پیش از تأیید تکمیل خودکار باید نشانی وب‌سایت و اصالت صفحه را بررسی کرد؛ زیرا تکمیل خودکار در صفحه‌ای جعلی یا دامنه‌ای شبیه به دامنهٔ اصلی، اطلاعات محرمانه را در معرض خطر قرار می‌دهد.
3) اتصال از طریق API و خط فرمان
رابط برنامه‌نویسی کاربردی (API) مجموعه‌ای از روش‌ها و قواعد است که ارتباط میان نرم‌افزارها را ممکن می‌کند. Passbolt علاوه بر ارائهٔ یک API برای تعامل برنامه‌ای، برای برخی گردش‌کارها ابزارهای خط فرمان (CLI) نیز در نظر گرفته است.
این قابلیت‌ها در فرایندهای مدیریتی و خودکارسازی بسیار کاربردی هستند و امکان دسترسی کنترل‌شدهٔ برنامه‌ها به منابع را فراهم می‌کنند. البته دسترسی برنامه‌ها باید با رعایت دقیق مجوزها، حفاظت از اعتبارنامه‌ها و محدود کردن سطح دسترسی تنظیم شود و اطلاعات ورود هرگز نباید در کد منبع عمومی، فایل‌های پیکربندی بدون محافظت یا گزارش‌های قابل‌دسترس برای افراد غیرمجاز قرار گیرند.
امنیت Passbolt چگونه تأمین می‌شود؟
در بررسی امنیت Passbolt، باید میان «محتوای محرمانه» و «فراداده‌ها» (Metadata) تفاوت قائل شد. گذرواژه‌ها، کدهای یک‌بارمصرف و یادداشت‌های محرمانه همیشه رمزگذاری می‌شوند؛ اما وضعیت رمزگذاریِ نام ورودی، نام کاربری، نشانی وب‌سایت و توضیحات، به قالب داده و تنظیمات سامانه بستگی دارد.
در نسخهٔ ۵٫۴٫۰ و نسخه‌های جدیدتر، نصب‌های تازه به‌طور پیش‌فرض از قالب رمزگذاری‌شدهٔ فراداده‌ها استفاده می‌کنند؛ بااین‌حال، سامانه‌هایی که از نسخه‌های قدیمی‌تر ارتقا یافته‌اند ممکن است تا زمان فعال‌سازی دستی این تنظیم، همچنان از قالب قدیمی استفاده کنند. بر اساس مستندات رسمی، این قابلیت اطلاعاتی مانند نام منبع، نام کاربری، نشانی وب‌سایت، توضیحات و کلیدهای فیلدهای سفارشی را هم رمزگذاری می‌کند. بنابراین برای سازمان‌هایی که محرمانگی نام حساب‌ها یا نشانی سرویس‌ها اهمیت دارد، بررسی وضعیت رمزگذاری فراداده‌ها پیش از بهره‌برداری ضروری است؛ به این دلیل که فعال بودن رمزنگاری سرتاسری برای اسرار، به‌خودی‌خود به معنی رمزگذاری تمام جزئیات قابل‌مشاهده در تمام نسخه‌ها نیست.
احراز هویت و مقابله با فیشینگ
احراز هویت چندعاملی (Multi-Factor Authentication) با استفاده از بیش از یک عامل برای تأیید هویت کاربر، امنیت ورود را ارتقا می‌دهد. طبق مستندات رسمی محصول، روش‌های TOTP ،YubiKey و Duo در نسخه‌های Community ،Pro و Cloud پشتیبانی می‌شوند:
- TOTP: در این روش، یک کد یک‌بارمصرف مبتنی بر زمان تولید می‌شود که هر چند ده ثانیه تغییر می‌کند و با برنامه‌هایی مانند Google Authenticator ،Authy یا FreeOTP قابل‌دریافت است. (این قابلیت از نسخهٔ ۳٫۹ در Community Edition، از نسخهٔ ۲٫۴ در Pro Edition و همچنین در نسخهٔ ابری پشتیبانی می‌شود.)
- YubiKey: این روش از یک کلید امنیتی سازگار با Yubico OTP بهره می‌برد؛ کاربر پس از ثبت کلید در تنظیمات حساب، هنگام ورود باید کلید خود را متصل و در صورت نیاز لمس کند تا عامل دوم تأیید شود.
- Duo: این روش از سرویس احراز هویت Duo برای تأیید مرحلهٔ دوم استفاده می‌کند که راه‌اندازی آن نیازمند تنظیمات هم‌زمان در Passbolt و سرویس Duo است.
در مقایسهٔ نسخه‌ها باید توجه داشت که «دسترسی به یک روش عامل دوم» با «امکان اعمال سیاست اجباری برای تمام کارکنان» یکسان نیست. قابلیت‌های مدیریتی مرتبط با سیاست‌های احراز هویت چندعاملی در نسخهٔ Pro ارائه شده‌اند؛ بنابراین اگر سازمان می‌خواهد استفاده از عامل دوم را برای تمام کاربران اجباری کند، باید امکانات دقیق طرح انتخابی را مدنظر قرار دهد.
در کنار این موارد، Passbolt از نشانهٔ امنیتی ضد فیشینگ استفاده می‌کند تا کاربر پنجرهٔ معتبر را بهتر از پنجرهٔ جعلی تشخیص دهد؛ هرچند وجود این قابلیت جایگزین بررسی نشانی صفحه، استفاده از گواهی معتبر و رعایت اصول امنیتی دستگاه نمی‌شود.
پشتیبان‌گیری و بازیابی کلید خصوصی
اگر کاربر کلید خصوصی خود را از دست بدهد، ممکن است دیگر نتواند گذرواژه‌هایش را رمزگشایی کند، حتی اگر داده‌ها همچنان روی سرور موجود باشند. به همین دلیل، Passbolt در راه‌اندازی اولیه امکان دریافت «بستهٔ بازیابی» (Recovery Kit) را فراهم کرده است.
کاربر باید این بسته را در مکانی امن، جدا از دستگاه اصلی و دور از دسترس افراد غیرمجاز نگه دارد. این فایل نباید در پیام‌رسان‌ها، ایمیل‌های عمومی یا فضای ذخیره‌سازی اشتراکی قرار گیرد؛ همچنین عبارت عبور مربوط به کلید خصوصی را نباید همراه همان فایل و بدون محافظت ذخیره کرد. برخی نسخه‌های تجاری نیز، قابلیت بازیابی حساب با تأیید مدیر را هم ارائه می‌دهند، به شرطی که از قبل فعال و درست پیکربندی شده باشد. سازمان باید پیش از استفادهٔ عملیاتی، سیاست مشخصی برای نگهداری کلیدها، پشتیبان‌گیری و بازیابی حساب‌ها تدوین کند و فرایند بازیابی را در یک محیط کنترل‌شده آزمایش کند.
اپلیکیشن‌های Passbolt برای موبایل و ویندوز
Passbolt علاوه بر افزونهٔ مرورگر، اپلیکیشن‌های رسمی iOS و Android و برنامهٔ دسکتاپ ویندوز دارد. کاربران از طریق برنامهٔ موبایل می‌توانند به حساب موجود خود متصل شوند، اطلاعات را ببینند و از قابلیت‌هایی مانند تکمیل خودکار یا کدهای TOTP بهره ببرند. راه‌اندازی اولیهٔ اپلیکیشن موبایل به حسابی نیاز دارد که قبلاً در مرورگر تنظیم شده باشد. همچنین اتصال امن HTTPS برای استفاده از برنامه‌ها ضروری است و در صورت استفاده از گواهی خودامضا (Self-Signed)، ممکن است نصب دستی گواهی سرور روی دستگاه هم لازم شود.
برنامهٔ دسکتاپ ویندوز نیز برای اتصال اولیه از اطلاعات حساب و بستهٔ مخصوص انتقال حساب (شامل کلید خصوصی کاربر) استفاده می‌کند. از آنجا که این بسته شامل کلید خصوصی است، باید فقط از روشی امن به دستگاه مقصد منتقل و پس از راه‌اندازی، از محل‌های موقت حذف شود. برنامهٔ ویندوز هم برای کارکرد صحیح به HTTPS نیاز دارد.
مزایا و معایب Passbolt
مهم‌ترین مزیت Passbolt، تمرکز بر مدیریت و اشتراک‌گذاری امن اطلاعات حساس در محیط‌های چندکاربره است. متن‌باز بودن، امکان نصب روی زیرساخت شخصی و پشتیبانی از مدیریت کاربران و گروه‌ها، انعطاف بالایی به سازمان‌ها می‌دهد. از دیگر مزایای آن می‌توان به رمزنگاری سمت کاربر، افزونهٔ مرورگر، اپلیکیشن‌های موبایل، برنامهٔ دسکتاپ ویندوز، ارائهٔ API و حق انتخاب میان نسخهٔ خودمیزبان و ابری اشاره کرد که وابستگی تیم‌ها به فایل‌های پراکنده و ارسال دستی گذرواژه‌ها را از بین می‌برد.
محدودیت‌های نصب و نگهداری
در مقابل، استقرار خودمیزبان به معنی پذیرش مسئولیت نگهداری زیرساخت است. مدیر سامانه باید به‌روزرسانی‌ها، دسترس‌پذیری سرویس، پیکربندی امن دامنه، تنظیم ایمیل، نسخهٔ پشتیبان و مدیریت دسترسی‌ها را پیگیری کند و در روش نصب با داکر نیز به اجرای برنامه‌ها در محیط کانتینری مسلط باشد.
از طرفی، مدیریت کلیدهای خصوصی و فرایند بازیابی ممکن است برای کاربران تازه‌کار کمی پیچیده به نظر برسد. برخی قابلیت‌های سازمانی هم به اشتراک پولی نیاز دارند و برای استفادهٔ شخصیِ ساده، راهکارهای سبک‌تری در بازار یافت می‌شود. فراموش نکنید که استفاده از نسخهٔ رایگان Community مسئولیت امنیتی سازمان را حذف نمی‌کند؛ بنابراین اگر سازمان نیروی فنی کافی برای مدیریت سرور ندارد، استفاده از طرح ابری یا سپردن نگهداری زیرساخت به نیروی متخصص گزینهٔ مناسب‌تری خواهد بود.
نسخه‌ها و هزینه‌های Passbolt
Passbolt در مدل خودمیزبان سه نسخهٔ رایگان Community، نسخهٔ Pro و طرح Enterprise را عرضه می‌کند و در کنار آن‌ها، طرح‌های ابری را ارائه می‌دهد که در آن‌ها میزبانی و نگهداری زیرساخت بر عهدهٔ ارائه‌دهندهٔ سرویس است. تفاوت این گزینه‌ها علاوه بر قیمت، به قابلیت‌های مدیریتی، پشتیبانی و مسئولیت نگهداری سرور برمی‌گردد. در ادامۀ این بخش به توضیح هر یک از این نسخه‌ها می‌پردازیم.
نسخۀ Community چه امکاناتی دارد؟
نسخهٔ Community رایگان است و بر اساس صفحهٔ رسمی محصول، محدودیتی برای تعداد کاربران آن ذکر نشده است. مدیریت گذرواژه‌ها، پوشه‌های خصوصی و اشتراکی، مدیریت کاربران و گروه‌ها، API، افزونهٔ مرورگر، اپلیکیشن‌های موبایل و قابلیت‌های پایهٔ مدیریت دسترسی در این نسخه قرار دارند.
برای تیم‌های کوچک یا سازمان‌هایی که نیروی فنی لازم برای نصب و نگهداری سرویس را دارند، این نسخه نقطهٔ شروع مناسبی است؛ هرچند رایگان بودن نرم‌افزار به معنای رایگان بودن سرور، پشتیبان‌گیری و نیروی نگهداری نیست و نبودِ امکاناتی مانند ورود یکپارچه (SSO) و بازیابی حساب را هم باید در مقایسه با نسخه‌های تجاری در نظر گرفت.
نسخۀ Pro چه قابلیت‌هایی اضافه می‌کند؟
نسخهٔ Pro علاوه بر امکانات پایه، قابلیت‌هایی مانند ورود یکپارچه (SSO)، تأمین کاربران از طریق LDAP، گزارش فعالیت‌ها (Audit Logs)، مدیریت برچسب‌ها و بازیابی حساب را ارائه می‌دهد. این نسخه مناسب سازمان‌هایی است که می‌خواهند از Passbolt در مقیاس سازمانی بهره ببرند و به مدیریت متمرکزتر کاربران، ثبت رویدادها و خدمات پشتیبانی رسمی نیاز دارند.
Passbolt Cloud چگونه محاسبه می‌شود؟
در سرویس ابری، نیازی به نصب و نگهداری زیرساخت توسط سازمان نیست و هزینهٔ اشتراک به تعداد کاربران و نوع طرح بستگی دارد. مبالغ زیر در مهر ۱۴۰۵ بر اساس صفحات رسمی قیمت‌گذاری Passbolt بررسی شده‌اند (از آنجا که قیمت‌ها و شرایط اشتراک ممکن است تغییر کنند، پیش از خرید نرخ نهایی را در سایت رسمی بررسی کنید):
|
نسخه یا طرح |
قیمت اعلام‌شده در مهر ۱۴۰۵ |
مناسب برای |
|
Community خودمیزبان |
رایگان، بدون محدودیت اعلام‌شده برای تعداد کاربران |
تیم‌هایی با توان نگهداری زیرساخت |
|
Pro خودمیزبان |
۴٫۹ دلار به‌ازای هر کاربر در ماه (پرداخت سالانه؛ حداقل ۱۰ کاربر) |
سازمان‌های نیازمند قابلیت‌های مدیریتی بیشتر |
| Cloud Business | ۵٫۴ دلار به‌ازای هر کاربر در ماه (پرداخت ماهانه؛ حداقل ۱۰ کاربر) |
تیم‌هایی که میزبانی مدیریت‌شده می‌خواهند |
|
Cloud Sovereign |
۸ دلار به‌ازای هر کاربر در ماه (پرداخت سالانه؛ حداقل ۱۰ کاربر) | سازمان‌هایی با نیاز مشخص به میزبانی حاکمیتی در اروپا |
| Enterprise | قیمت توافقی |
سازمان‌های دارای نیازهای خاص و پشتیبانی سازمانی |
مبالغ نسخهٔ Pro و طرح‌های ابری به‌ازای «هر کاربر» اعلام می‌شوند، نه هزینهٔ کل سازمان؛ بنابراین در طرح‌هایی که حداقل ۱۰ کاربر دارند، حداقل هزینه بر اساس همین تعداد محاسبه می‌شود. همچنین نسخهٔ Pro خودمیزبان هزینهٔ سرور، نگهداری و پشتیبان‌گیری جداگانه‌ای دارد، درحالی‌که در Cloud Business میزبانی مدیریت‌شده بخشی از هزینهٔ اشتراک است. طرح Cloud Sovereign نیز برای سازمان‌هایی طراحی شده است که الزامات مشخصی دربارهٔ محل میزبانی و حاکمیت داده در اروپا دارند.
ملاحظات انتخاب و استقرار Passbolt برای کاربران ایرانی
برای سازمان‌های ایرانی، انتخاب میان نسخهٔ خودمیزبان و ابری فقط به امکانات نرم‌افزار محدود نمی‌شود و باید شیوهٔ پرداخت، محل نگهداری داده‌ها و دسترسی شبکه را هم در نظر گرفت که در این بخش آن‌ها را بررسی می‌کنیم.
محدودیت پرداخت نسخه‌های پولی
برای کاربران داخل ایران، پرداخت مستقیم بین‌المللی جهت خرید نسخه‌های Pro و Cloud به دلیل محدودیت‌های بانکی با چالش روبه‌روست؛ بنابراین پیش از انتخاب طرح پولی باید شرایط خرید، امکان پرداخت و نحوهٔ صدور اشتراک از مسیرهای رسمی بررسی شود و تصمیم سازمان بر اساس دسترسی واقعی به روش پرداخت باشد، نه صرفاً قیمت درج‌شده در وب‌سایت. در چنین شرایطی، نسخهٔ Community نقطهٔ شروعی بدون هزینهٔ مجوز نرم‌افزار است، هرچند هزینهٔ زیرساخت، امنیت، پشتیبان‌گیری و نگهداری همچنان بر عهدهٔ سازمان باقی می‌ماند.
مزیت میزبانی روی سرور داخلی
نگهداری اطلاعات ورود کاربران و زیرساخت روی سرور داخلی، کنترل بیشتری بر محل میزبانی و فرایندهای عملیاتی به سازمان می‌دهد و برای تیم‌هایی که عمدهٔ کاربرانشان در ایران هستند (در صورت مناسب بودن کیفیت شبکه) مسیر ارتباطی کوتاه‌تری فراهم می‌کند.
البته قرار گرفتن سرور در داخل کشور به‌تنهایی ضامن امنیت نیست؛ پیکربندی امن شبکه، استفاده از HTTPS، به‌روزرسانی مستمر، محدود کردن دسترسی مدیریتی، محافظت از کلیدها و تهیهٔ نسخهٔ پشتیبان همچنان ضروری هستند و سیاست سازمان دربارهٔ نگهداری داده‌ها نیز باید پیش از انتخاب محل میزبانی بررسی شود.
دسترسی به Docker Hub پیش از نصب
برای نصب Passbolt با داکر، دسترسی سرور به مخزن تصاویر (Images) رسمی نرم‌افزار اهمیت دارد. تیم فنی باید پیش از راه‌اندازی عملیاتی، وضعیت دسترسی به Docker Hub را روی همان سروری که قرار است Passbolt اجرا شود آزمایش کند؛ چون هرگونه اختلال یا محدودیت در دریافت تصاویر، فرایند نصب و به‌روزرسانی را متوقف می‌کند. اگر دسترسی مستقیم با مشکل مواجه است، باید راهکار مناسب و مجازی برای دریافت تصاویر (مانند استفاده از رجیستری یا آینهٔ مورداعتماد مطابق سیاست امنیتی سازمان) از قبل تعیین شود تا هنگام راه‌اندازی به مانعی تبدیل نگردد.
نصب Passbolt روی سرور
برای نصب خودمیزبان، ابتدا باید روش استقرار و منابع زیرساخت مشخص شوند. راهنمای رسمی نصب با داکر، وجود محیط لینوکس مناسب، دسترسی لازم برای اجرای فرمان‌های داکر، سرویس ایمیل فعال (SMTP) برای ارسال اعلان‌ها و سرویس همگام‌سازی زمان (NTP) را از پیش‌نیازهای اصلی معرفی می‌کند.
در کنار این موارد، باید نام دامنه، گواهی معتبر HTTPS، فضای ذخیره‌سازی کافی (متناسب با تعداد کاربران و حجم فعالیت) و برنامهٔ پشتیبان‌گیری مشخص باشد. توصیه می‌شود پیش از استقرار نهایی سرور Passbolt، ابتدا راه‌اندازی را در یک محیط آزمایشی انجام دهید تا تنظیمات دامنه، ایمیل، ارتباط امن و بازیابی حساب بررسی شوند و سپس همان پیکربندی کنترل‌شده را به محیط عملیاتی منتقل کنید.
نصب Passbolt با داکر
فناوری Docker امکان اجرای برنامه‌ها را در محیط‌های مستقل و قابل‌مدیریت فراهم می‌کند و مستندات رسمی Passbolt هم استفاده از فایل نمونهٔ Docker Compose را برای استقرار ساده‌تر این سرویس پیشنهاد می‌دهد. مراحل کلی نصب نسخهٔ Community با این روش به ترتیب زیر است:
۱) دریافت فایل‌های رسمی نصب
ابتدا راهنمای رسمی نصب Passbolt Community با داکر را باز کنید و فایل Compose مربوط به نسخهٔ انتخابی و فایل checksum همراه آن را از منبع رسمی دریافت کنید و از دانلود فایل‌های نصب از منابع ناشناس خود داری کنید.
۲) بررسی صحت فایل با checksum
پس از دریافت فایل‌ها، بررسی کنید که فایل پیکربندی در مسیر انتقال آسیب ندیده یا تغییر نکرده باشد. در محیط لینوکس، فرمان زیر برای بررسی هش فایل رسمی به کار می‌رود:
sha512sum -c docker-compose-ce-SHA512SUM.txt
در صورت معتبر بودن فایل، خروجی شامل پیامی مشابه docker-compose-ce.yaml: OK خواهد بود. اگر بررسی با خطا مواجه شد، نصب را ادامه ندهید و فایل را دوباره از منبع رسمی دانلود کنید.
۳) تنظیم متغیرهای محیطی و پیکربندی سرویس
فایل docker-compose-ce.yaml را باز کرده و متغیرهای محیطی را بر اساس زیرساخت خود تنظیم کنید. مقدار APP_FULL_BASE_URL باید با نشانی واقعی سرور و دامنه‌ای که کاربران از طریق آن متصل می‌شوند هماهنگ باشد. همچنین وارد کردن تنظیمات SMTP برای ارسال ایمیل‌های اعلان و بازیابی ضروری است.
در این مرحله، تنظیمات مربوط به پایگاه داده، اطلاعات محرمانه، دامنه و نسخهٔ تصاویر را نیز بررسی کنید. بهتر است به‌جای استفاده از برچسب متغیر latest، نسخه‌ای مشخص و بررسی‌شده را انتخاب کنید تا به‌روزرسانی‌های ناخواسته باعث تغییر رفتار سرویس نشوند. اطلاعات حساس هرگز نباید در مخازن کد عمومی یا با مجوزهای دسترسی نامناسب نگهداری شوند.
۴) اجرای سرویس‌های Passbolt
پس از تکمیل تنظیمات، فرمان زیر را از مسیر پوشه‌ای که فایل Compose در آن قرار دارد اجرا کنید:
docker compose -f docker-compose-ce.yaml up -d
بعد از اجرا، وضعیت کانتینرها و گزارش‌های سرویس را بررسی کنید تا از راه‌اندازی درست اجزای سامانه مطمئن شوید. در صورت مشاهدهٔ خطا، پیش از ایجاد حساب مدیریتی، مشکل مربوط به تنظیمات شبکه، پایگاه داده یا متغیرهای محیطی را برطرف کنید.
۵) ساخت نخستین کاربر مدیر
پس از راه‌اندازی موفق سرویس، نخستین کاربر مدیر را با فرمان رسمی زیر ایجاد کنید (به‌جای مقادیر نمونه، ایمیل و نام کاربر موردنظر را قرار دهید):
docker compose -f docker-compose-ce.yaml exec passbolt su -m -c "/usr/share/php/passbolt/bin/cake passbolt register_user -u YOUR_EMAIL -f YOUR_NAME -l YOUR_LASTNAME -r admin" -s /bin/sh www-data
پس از اجرای فرمان، پیوند ثبت‌نام در خروجی نمایش داده می‌شود که باید آن را در مرورگر باز و مراحل راه‌اندازی حساب را تکمیل کنید (این پیوند را در اختیار افراد غیرمجاز قرار ندهید).
توجه داشته باشید که در محیط عملیاتی، سرور Passbolt نباید صرفاً پس از بالا آمدن کانتینرها آمادهٔ استفاده فرض شود؛ بلکه سلامت سرویس، ارتباط HTTPS، ارسال ایمیل، محدودیت دسترسی‌ها و امکان بازیابی حساب نیز باید آزمایش شوند.
تنظیم دامنه و گواهی SSL
برای دسترسی امن کاربران، دامنه و ارتباط HTTPS باید به‌درستی پیکربندی شوند. اگر برای دامنهٔ سرویس به گواهی تجاری نیاز دارید، می‌توانید گزینه‌های خرید ssl را متناسب با نوع دامنه و نیاز زیرساخت بررسی کنید و پس از تهیه، آن را روی وب‌سرور یا پراکسی معکوس تنظیم و از معتبر بودن زنجیرهٔ گواهی مطمئن شوید.
گواهی SSL یا TLS از ارتباط شبکه محافظت می‌کند و جایگزین رمزنگاری سرتاسری خود Passbolt نیست؛ به بیان دیگر، HTTPS انتقال امن اطلاعات بین مرورگر و سرور را تضمین می‌کند، درحالی‌که رمزنگاری سرتاسری برای حفاظت از محتوای محرمانهٔ ذخیره‌شده به کار می‌رود و هر دو لایه باید در کنار هم پیکربندی شوند.
بسته به محل میزبانی نیز می‌توان از سرور مجازی یا سرور اختصاصی ایران استفاده کرد که انتخاب میان آن‌ها به تعداد کاربران، میزان دسترس‌پذیری موردنیاز، ظرفیت منابع و سیاست‌های سازمان بستگی دارد.
Passbolt برای چه تیم‌هایی مناسب است؟
Passbolt برای سازمان‌هایی مناسب است که در آن‌ها چند نفر به اطلاعات ورود مشترک نیاز دارند و دسترسی هر کاربر باید به‌صورت مشخص مدیریت شود. شرکت‌های فناوری اطلاعات، تیم‌های پشتیبانی، مدیران زیرساخت، کسب‌وکارهای دارای چند وب‌سایت و تیم‌های توسعه بیشترین بهره را از قابلیت‌های آن می‌برند.
اگر سازمان شما در حال بررسی این موضوع است که Passbolt چیست و چه ارزشی به فرایندهای کاری اضافه می‌کند، باید نیاز واقعی به اشتراک‌گذاری و مدیریت دسترسی را در نظر بگیرد. تعداد حساب‌های مشترک، گردش کارکنان، حساسیت اطلاعات، نیاز به ثبت رویدادها و توان نگهداری سرور، معیارهای مهم‌تری از صرفِ «متن‌باز بودن» نرم‌افزار هستند. در مقابل، افرادی که فقط می‌خواهند رمزهای شخصی خود را روی یک دستگاه ذخیره کنند، به قابلیت‌های همکاری تیمی و نگهداری سرور نیازی ندارند و بهتر است سراغ نرم‌افزارهای مدیریت رمز عبور شخصی بروند.
Passbolt چه تفاوتی با KeePass دارد؟
نرم‌افزار KeePass نیز ابزاری متن‌باز برای مدیریت گذرواژه‌هاست، اما رویکرد معمول آن بر نگهداری رمزها در یک فایل پایگاه دادهٔ رمزگذاری‌شده متمرکز است؛ درحالی‌که Passbolt به‌طور ویژه برای اشتراک‌گذاری اطلاعات و مدیریت دسترسی کاربران در یک محیط تیمی طراحی شده است.
|
معیار |
Passbolt |
KeePass |
|
کاربرد محوری |
مدیریت و اشتراک‌گذاری تیمی | مدیریت گذرواژه‌ها در پایگاه دادهٔ رمزگذاری‌شده |
| مدل نگهداری اطلاعات | سرور خودمیزبان یا سرویس ابری |
معمولاً فایل پایگاه دادهٔ رمزگذاری‌شده |
|
مدیریت اعضا |
کاربران، گروه‌ها و مجوزهای اشتراک‌گذاری | اشتراک فایل ممکن است؛ کنترل دسترسی وابسته به مجوزهای فایل است |
| زیرساخت | نسخهٔ خودمیزبان به سرور نیاز دارد |
برای استفادهٔ پایه نیازی به سرور اختصاصی ندارد |
|
وارد کردن و خروجی گرفتن |
پشتیبانی از وارد کردن مستقیم فایل KDBX و برخی قالب‌های دیگر | قالب اصلی پایگاه داده برای نگهداری گذرواژه‌ها KDBX است |
| هزینه | نسخهٔ Community رایگان و طرح‌های تجاری پولی |
نرم‌افزار اصلی رایگان و متن‌باز است |
یکی از نکات کاربردی برای مهاجرت میان این دو سامانه آن است که Passbolt (در نسخه‌های Community، Pro و Cloud) امکان وارد کردن مستقیم فایل KDBX را دارد. کافی است فایل خروجی نرم‌افزار KeePass را انتخاب و در صورت نیاز، رمز محافظ آن را وارد کنید تا اطلاعات به محیط Passbolt منتقل شوند (هنگام انتقال باید بررسی شود که فیلدهای سفارشی، یادداشت‌ها و کدهای TOTP به‌درستی منتقل شده‌اند و اطلاعات حساسی در فایل‌های موقت باقی نمانده است).
در KeePass هم می‌توان فایل پایگاه داده را میان چند دستگاه منتقل کرد یا در محل اشتراکی قرار داد، اما این روش جایگزین مدیریت مستقل کاربران و دسترسی‌های تیمی در Passbolt نمی‌شود. بنابراین اگر نیاز اصلی شما ذخیرهٔ گذرواژه‌های شخصی است، KeePass گزینهٔ مناسبی به شمار می‌رود؛ اما برای دسترسی مشترک چند کاربر و مدیریت متمرکز مجوزها در سازمان، Passbolt ارزش بررسی بیشتری دارد.
کلام آخر
در جمع‌بندی، پاسخ به پرسش «Passbolt چیست» این است که با راهکاری برای مدیریت متمرکز و اشتراک‌گذاری امن اطلاعات ورود روبه‌رو هستیم که با ترکیب رمزنگاری سمت کاربر، مدیریت دسترسی و امکان استقرار خودمیزبان یا ابری، نیاز بسیاری از تیم‌های فنی و سازمانی را پوشش می‌دهد. بااین‌حال، انتخاب آن باید بر اساس تعداد کاربران، سطح محرمانگی اطلاعات، امکانات موردنیاز و توان نگهداری زیرساخت انجام شود، نه صرفاً به دلیل متن‌باز بودن یا داشتن نسخهٔ رایگان.
اگر قصد دارید Passbolt را روی زیرساخت خود اجرا کنید، میزبانی آن روی یک سرور مجازی مناسب گزینه‌ای کاملاً عملی است؛ به شرط آنکه منابع کافی، ارتباط امن، پشتیبان‌گیری منظم و برنامهٔ مشخصی برای نگهداری کلیدهای خصوصی و بازیابی حساب‌ها تدوین کنید تا این ابزار به بخشی قابل‌اتکا از زیرساخت امنیتی سازمان تبدیل شود.
سؤالات متداول
آیا Passbolt رایگان است؟
بله، نسخهٔ Community به‌صورت رایگان عرضه می‌شود و در صفحهٔ رسمی محصول محدودیتی برای تعداد کاربران آن ذکر نشده است. بااین‌حال، نسخه‌های تجاری قابلیت‌ها و خدمات پشتیبانی بیشتری دارند و در نسخهٔ خودمیزبان، هزینهٔ زیرساخت و نگهداری سرور را نیز باید محاسبه کنید.
آیا Passbolt روی سرور شخصی نصب می‌شود؟
بله، Passbolt را می‌توان روی زیرساخت شخصی نصب و مدیریت کرد. روش نصب با داکر یکی از گزینه‌های رایج است، اما پیش از استقرار عملیاتی باید منابع سرور، دامنه، ارتباط امن، سرویس ایمیل و روند پشتیبان‌گیری و بازیابی حساب را آماده و بررسی کنید.
اگر کلید خصوصی Passbolt گم شود چه می‌شود؟
از دست رفتن کلید خصوصی ممکن است دسترسی به اطلاعات رمزگذاری‌شده را غیرممکن کند. اگر بستهٔ بازیابی (Recovery Kit) را ذخیره کرده باشید، می‌توانید از آن استفاده کنید؛ بازیابی با کمک مدیر نیز به فعال بودن این قابلیت در نسخه‌های تجاری بستگی دارد. به همین دلیل، بستهٔ بازیابی باید در مکانی امن و جدا از دستگاه اصلی نگهداری شود.
Passbolt چیست و روی چه دستگاه‌هایی کار می‌کند؟
Passbolt یک سامانهٔ مدیریت گذرواژهٔ تیمی است که علاوه بر افزونهٔ مرورگر، اپلیکیشن‌های رسمی iOS و Android و برنامهٔ دسکتاپ ویندوز دارد. برای راه‌اندازی موبایل، ابتدا باید حساب را در محیط مرورگر پیکربندی کنید و اتصال امن HTTPS را هم روی سرور برقرار کرده باشید.
Passbolt چیست و آیا برای استفاده شخصی مناسب است؟
از نظر فنی امکان استفادهٔ شخصی از Passbolt وجود دارد، اما تمرکز اصلی محصول بر مدیریت و اشتراک‌گذاری گذرواژه‌ها در تیم‌هاست. اگر تنها به نگهداری رمزهای شخصی نیاز دارید، ابزارهایی که نیازی به مدیریت سرور ندارند گزینه‌های مناسب‌تری در مقایسه با Passbolt خواهند بود.
