Synology C2 Password - wirklich sicher?

[woerli]

Hallo,

bisher nutze ich für meine Passworter kypas offline, hatte vor ca. einem reichlichen Jahr allerdings mal testweise C2 Password von Synology getestet.
Da ich mit keypass nicht mehr so zufrieden bin (zuletzt beim Entsperren ien Mal Datenmbank zerschossen und automatische Sicherung via Foldersync nicht möglich), wollte ich eigentlich nun ganz auf C2 Password wechseln.

Also habe ich mich da nacch vielen Monaten mal wieder eingeloggt und sehe dort bei jedem meiner damaligen zahlreichen Einträge einen Änderungsvermerk "04.03.2024, 04:38:44 (von „mein Name“ bearbeitet)". Natürlich hatte ich mich am 4.3. nicht um 4:38 Uhr eingeloggt und zeitgleich jeden meiner Einträge bearbeitet.

Also ein Ticket beim Support eröffnet und die Antwort kam prompt: "Tatsächlich gab es am 4. März 2024 eine Anpassung des C2-Passwortservers, sodass das Änderungsdatum für alle Elemente auf dieses Datum geändert wurde. Es war eine Aktion unsererseits, wir entschuldigen uns für die Unannehmlichkeiten und werden dies in Zukunft vermeiden."

Das ist zwar auf den ersten Blick eine Erklärung, aber das führt mich zu meiner eigentlichen Frage:
Wenn nur ich die Passphrase zum entschlüsseln meiner C2-Passwortdatenbank besitze, wie zum Geier kann dann das System bei einem Update direkt an den Einträgen Änderungen vornehmen?

Für mein Verständnis sollte das Änderungsdatum der Einträge genauso mit der Datenbank verschlüsselt sein und sich durch ein Update nicht ändern lassen. Selbst wenn sie z.B. die Datenbank gewechselt haben, wie kann das diese Einträge beeinflussen?

Mein Vertrauen in C2 ist jedenfalls erstmal dahin.

 

[Tamron]

Kannst du nicht einen Docker Container mit Vaultwarden auf deiner unbekannten Synology laufen lassen? Dann hast du ein Top Programm und die absolute Kontrolle

 

[airwave]

Als tip: schwenk auf selfhosted vaultwarden um.
zur not verzichte sogar auf den reverse proxy und lass den zugriff nur lokal zu und pack dir n vpn davor (openvpn mit passwort, performance ist für vualtwarden ja egal) somit sicherer als wireguard.

 

[h3@d1355_h0r53]

Cloud bedeutet nur auf dem Rechner von jemand anderem, dasselbe gilt für alle anderen Onlinedienste.
Also Vaultwarden über Docker auf deiner Synology. Im Zweifel auf nem alten Pi…

 

[Redundanz]

keepass verschlüsselt ja z.b. die gesamte datenbank, das muss bei c2 nicht notwendigerweise der fall sein. so metadaten wie "zugriffsdatum" z.b. könnten durchaus ohne besondere gefahr plaintext-felder sein, das hängt vor allem von der genutzen datenbanktechnologie ab.
das wäre aber auch sicherheitstechnisch erklärbar, weil damit ja fremdzugriffe durch unbekannte dritte seitens des anbieters mit dir abstimmbar würden und somit verifizierbar, da ansonsten einzelne änderungen nie einer ip zugeordnet werden könnten.

username, passwort, notizen, email... (ich kenne die felder in c2 nicht) und alle potentiellen loginspezifischen felder sind wohl mit sicherheit verschlüsselt. sonst wäre das ganze ja totaler quark.

unglücklich ist, dass sie nicht direkt ungefragt über diesen vorgang informiert haben.

das thema vertrauen ist natürlich ein weiterer aspekt. ich z.b. würde passwortdaten zu bankkonten oder coinbase, etc. alles was mit geld zu tun hat keiner 3rd party anvertrauen, auch wenn es ein "renommiertes unternehmen" ist. data breaches etc. beruhen ja selten auf böswilligkeit innerhalb des unternehmens selbst.
für manche einzelnen logindaten ist der papierzettel im tresor oder gar zwischen einem stapel bettlaken oder unter einer großen topfpflanze die sicherere variante. abhängig davon in welcher art haushalt du lebst natürlich.