KeePassXC — локальный менеджер паролей с открытым кодом. База хранится в файле KDBX, шифруется ключом, выведенным из мастер-пароля, и не требует облака или подписки. Программа работает в Linux, Windows и macOS, умеет автозаполнение в браузере, автотипирование и работу из командной строки. Ниже — создание базы, настройка защиты, ежедневные сценарии и резервное копирование.

Установка

В Debian, Ubuntu и Linux Mint пакет есть в официальном репозитории.

sudo apt update
sudo apt install keepassxc
keepassxc --version
keepassxc-cli --version

Если нужна свежая версия, подойдёт Flatpak org.keepassxc.KeePassXC, но тогда настройки будут общими для всех интерфейсов, а CLI придётся ставить отдельно.

Создание базы и мастер-пароль

Базу можно создать в графическом интерфейсе через Database → New Database или из терминала. Формат KDBX 4 использует Argon2id для вывода ключа — современный алгоритм, специально замедленный для перебора.

mkdir -p ~/vault
keepassxc-cli db-create -p ~/vault/passwords.kdbx
keepassxc-cli db-info ~/vault/passwords.kdbx

Мастер-пароль должен быть длинной фразой, которую вы не используете больше нигде. Запишите его на бумагу и уберите в надёжное место: восстановления нет, и это не недостаток, а свойство модели угроз. Для рабочей базы включите ключевой файл: Database → Database Settings → Security → Add key file. Файл храните отдельно от базы, например на другом носителе.

Записи, генератор и атрибуты

Каждая запись — это группа, заголовок, логин, пароль, URL и заметки. Дополнительные атрибуты полезны для PIN-кодов и ответов на контрольные вопросы. Генератор встроен и работает без интернета.

keepassxc-cli add -u alice ~/vault/passwords.kdbx "Почта"
keepassxc-cli generate -L 24 -l -u -n -s
keepassxc-cli show -s -a Password ~/vault/passwords.kdbx "Почта"

Ключ -L задаёт длину, -l, -u, -n и -s включают строчные, заглавные, цифры и спецсимволы. Флаг -s у show скрывает лишние поля, -a выбирает атрибут. Вывод пароля в терминал оставляет след в истории, поэтому для повседневной работы используйте копирование в буфер из графического интерфейса.

Одноразовые коды и TOTP

KeePassXC умеет хранить секрет TOTP и показывать шестизначный код прямо в записи. Секрет добавляется в свойствах записи, после чего в списке появляется колонка с таймером.

keepassxc-cli show -t ~/vault/passwords.kdbx "Почта"

Помните, что TOTP в одной базе с паролем — это удобство, а не полноценный второй фактор: при компрометации базы злоумышленник получит и пароль, и код. Для критичных сервисов держите второй фактор отдельно.

Группы и поиск в CLI

Для скриптов полезно раскладывать записи по группам: серверы, почта, банк. Команда ls показывает содержимое, флаг -R обходит вложенные группы. Путь группы записывается через слеш.

keepassxc-cli ls -R ~/vault/passwords.kdbx
keepassxc-cli show -s -a UserName ~/vault/passwords.kdbx "Почта/alice"

Такой вывод удобно фильтровать через grep, но не сохраняйте его в общедоступный лог: имена сервисов сами по себе являются чувствительной информацией.

Ключевой файл и аппаратный токен

Двухфакторная защита базы строится на связке «пароль + ключевой файл» или «пароль + YubiKey с challenge-response». Второй фактор не заменяет мастер-пароль, а дополняет его. При потере ключевого файла база не откроется, поэтому делайте резервную копию и самого файла.

keepassxc-cli db-info -k ~/vault/vault.key ~/vault/passwords.kdbx
chmod 700 ~/vault
chmod 600 ~/vault/passwords.kdbx
ls -l ~/vault/

Права на каталог стоит ограничить: это защита от других пользователей машины, но не от вредоносного ПО, запущенного под вашей учётной записью. Отдельно проверьте настройки KDF: в Database Settings → Security видны параметры Argon2id и время вывода ключа. Ориентируйтесь на задержку около секунды на вашем железе.

Браузер и автотипирование

Интеграция с браузером включается в Tools → Settings → Browser Integration. Для Firefox и Chrome есть расширение KeePassXC-Browser; связь идёт через локальный процесс и не отправляет базу в сеть. Включите интеграцию только для нужных групп, чтобы случайный сайт не запросил пароль от банка.

ls ~/.config/keepassxc/
grep -i browser ~/.config/keepassxc/keepassxc.ini

Автотипирование работает в любом приложении: последовательность по умолчанию — логин, Tab, пароль, Enter. Для терминалов и игр настройте свою последовательность в свойствах записи. Окно Auto-Type можно вызвать глобальной комбинацией, даже если менеджер свёрнут.

Резервное копирование

Резервная копия — это копия файла KDBX, а не экспорт в CSV. CSV содержит пароли открытым текстом и годится только для переноса, после которого файл нужно уничтожить. Копии делайте на отдельный носитель и проверяйте контрольные суммы.

install -m 700 -d ~/backup/vault
cp -a ~/vault/passwords.kdbx ~/backup/vault/passwords-$(date +%F).kdbx
sha256sum ~/backup/vault/*.kdbx > ~/backup/vault/SHA256SUMS
sha256sum -c ~/backup/vault/SHA256SUMS

Храните минимум две копии в разных местах и одну — офлайн. Раз в квартал открывайте копию на другой машине: непроверенная резервная копия не считается резервной. Если база синхронизируется через облако, включайте шифрование на стороне клиента и помните, что конфликт версий может испортить файл.

Несколько баз и общий доступ

Разделяйте контуры: личная база, рабочая и отдельная для семейных сервисов. Разные мастер-пароли ограничивают ущерб от утечки одной базы. Для совместного доступа не передавайте файл целиком — заведите отдельную базу с общим паролем и меняйте его при выходе участника.

Гигиена и чек-лист

  • мастер-пароль уникален и хранится вне базы;
  • ключевой файл лежит отдельно от KDBX;
  • автоблокировка срабатывает через 5–10 минут простоя;
  • буфер обмена очищается автоматически;
  • резервные копии проверены восстановлением;
  • программа и расширения обновлены.

Не храните мастер-пароль в заметках почтового клиента и не отправляйте его себе в мессенджер. Для семьи или команды лучше завести отдельные базы, чем передавать один файл с общим паролем: так проще отозвать доступ.

Типичные ошибки

  • ключевой файл лежит рядом с базой в одном архиве;
  • экспорт в CSV «на всякий случай» и забытый файл в загрузках;
  • отключённая автоблокировка на общей машине;
  • база открыта на двух устройствах во время синхронизации.

Итог

KeePassXC даёт полный контроль над паролями: файл принадлежит вам, облако не обязательно, а защиту можно усилить ключевым файлом или аппаратным токеном. Связка графического интерфейса, браузерного расширения и keepassxc-cli закрывает и повседневную работу, и автоматизацию. Главное — не терять мастер-пароль и регулярно проверять резервные копии.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте