WebKeePass с двухфакторной аутентификацией

TL;DR

WebKeePass — открытый веб‑менеджер паролей для корпоративного использования. В этой инструкции показано, как установить WebKeePass, подключить его к серверу WiKID через LDAP и настроить двухфакторную аутентификацию (2FA). Нужно: сервер с Java/Tomcat, доступ к WiKID Strong Authentication Server и основные навыки администратора Linux.

О чём эта инструкция

Коротко: использование менеджера паролей решает проблему уникальных сложных паролей для разных сервисов, но создаёт «ключ от королевства» — единое место с доступом ко всем паролям. Мы покажем, как развернуть WebKeePass и защитить доступ с помощью WiKID 2FA через LDAP, чтобы минимизировать риск компрометации учётной записи администратора.

Важно: в статье описан практический развёртывательный сценарий. Авторы не проводили формальный аудит безопасности WebKeePass — перед продакшеном рекомендуется провести независимый анализ.

Требования и предварительная подготовка

Сервер с Linux, доступ к интернету для загрузки архивов.
Установленная Java (поддерживаемая версия для WebKeePass).
Tomcat внутри дистрибутива WebKeePass (инсталлятор поставляет Tomcat).
Рабочий WiKID Strong Authentication Server (инструкции по установке — на сайте WiKID).
Права администратора на целевом сервере.

Краткое определение: LDAP — протокол для доступа к каталогу учётных записей; WiKID — сервер для одноразовых паролей и 2FA.

Установка WebKeePass

Установка простая. Сначала скачайте архив с SourceForge (пример wget):

wget http://downloads.sourceforge.net/project/webkeepass/WebKeePass-3.101127.zip?r=http%3A%2F%2Fsourceforge.net%2Fprojects%2Fwebkeepass%2Ffiles%2F&ts=1309378079&use_mirror=softlayer

Распакуйте и запустите инсталлятор:

unzip WebKeePass-3.101127.zip
cd WebKeePass-3.101127
chmod a+x Install.sh
./Install.sh

Во время установки вам предложат принять LGPL, указать директории установки и Java Home, порты Tomcat, а также создать пользователей и выбрать алгоритм шифрования. После завершения установки перейдите в директорию установки и запустите WebKeePass:

chmod a+x ./startup.sh
chmod a+x jakarta-tomcat-5.5.7/bin/*
./startup.sh

Вы должны увидеть примерно такой вывод:

[root@localhost test]# ./startup.sh
Using CATALINA_BASE:   /root/test/jakarta-tomcat-5.5.7
Using CATALINA_HOME:   /root/test/jakarta-tomcat-5.5.7
Using CATALINA_TMPDIR: /root/test/jakarta-tomcat-5.5.7/temp
Using JAVA_HOME:       /usr/java/latest/

Теперь откройте браузер по указанному порту Tomcat, например: https://localhost:8443/ — при первой загрузке будет предложено запустить Java‑приложение. Подтвердите и вы увидите экран входа.

Экран входа WebKeePass, запрошенное Java-приложение в браузере

Войдите под администраторами или пользователем, которых вы создали во время инсталляции. Это нужно, чтобы убедиться, что базовая установка работает перед добавлением 2FA.

Добавление двухфакторной аутентификации через WiKID

Предполагается, что сервер WiKID уже установлен и доступен. Инструкции по установке WiKID: http://www.wikidsystems.com/support/wikid-support-center/installation-how-tos.

На стороне WiKID нужно добавить сервер WebKeePass как сетевой клиент, использующий LDAP:

Откройте WiKIDAdmin веб‑интерфейс.
Перейдите на вкладку Network Clients и нажмите Create a New Network Client.
Укажите понятное имя, IP‑адрес сервера WebKeePass и протокол LDAP.
Свяжите клиент с доменом (в WiKID пользователи хранятся внутри доменов).
Нажмите Add и затем Add NC на следующей странице.

Добавление сетевого клиента в WiKID: форма создания нового Network Client

Подтверждение добавления Network Client в WiKID

После создания сетевого клиента необходимо перезапустить службу WiKID, чтобы открыть встроенный брандмауэр и применить изменения:

# wikidctl restart

Конфигурация WebKeePass для LDAP и WiKID

На сервере WebKeePass откройте файл конфигурации в каталоге установки, например /$webkeepass_directory/conf/WebKeePassConf.xml:

vim WebKeePassConf.xml

Измените секцию LDAP на следующую (подставьте ваш домен и IP сервера WiKID):


    true
    Users
    uid=
    ,domain=010100000127
    ldap://10.100.0.127:389
    simple
    com.sun.jndi.ldap.LdapCtxFactory

Замените значение на ваш 12‑значный идентификатор домена из WiKID (обратите внимание: это IP, дополненный нулями до 12 цифр) и укажите правильный IP/порт LDAP в java.naming.provider.url.

После этой конфигурации пользователи смогут входить в WebKeePass с одноразовым паролем (OTP) от WiKID — нет необходимости вручную синхронизировать пользователей.

Тестирование и отладка

Проверьте, что WebKeePass доступен по HTTPS и что Java‑приложение загружается.
Попробуйте войти под учётной записью WiKID, используя OTP; если вход не проходит, проверьте логи Tomcat и логи WiKID.
Убедитесь, что порт LDAP открыт между WebKeePass и WiKID и что нет блокирующего брандмауэра.

Типичные команды для диагностики: ping, telnet 389, netstat -plnt, tail -f catalina.out.

Когда это не подходит

Если вы не доверяете WebKeePass или хотите централизованно управлять ключами без единой точки отказа, рассмотрите SaaS‑решения с аудитом.
Если требуется сертифицированное решение (например, FIPS/PCI), протестируйте соответствие и пройдите аудит.

Мини‑методология развёртывания (быстрый план)

Подготовить тестовую VM и резервные копии.
Установить WebKeePass в тестовой среде, запустить и проверить вход.
Установить и настроить WiKID (или подготовить существующий сервер).
Добавить Network Client в WiKID, настроить LDAP в WebKeePass.
Протестировать вход с несколькими учётными записями, провести нагрузочное тестирование для количества пользователей.
Перенести в прод, настроить резервное копирование и мониторинг.

Чек-листы по ролям

Администратор сервера:

Установить и протестировать WebKeePass.
Обеспечить обновления Java и OS.
Настроить бэкапы каталога WebKeePass и Tomcat.

Администратор безопасности:

Настроить WiKID, добавить Network Client и домены.
Проверить шифрование (TLS) и политику паролей.
План отката и регулярно проводить ревью учётных записей.

Конечный пользователь:

Получить инструкцию по генерации и использованию одноразовых паролей WiKID.
Использовать уникальные пароли в хранилище, не делиться мастер‑ключом.

Критерии приёмки

WebKeePass запускается и доступен по HTTPS.
Входы по локальным учётным записям работают.
Аутентификация через WiKID работает для 3 тестовых пользователей с различными правами.
Логи показывают успешные LDAP‑bind и отсутствие ошибок TLS/LDAP.

Сценарии тестирования

Успешный вход через WiKID OTP для обычного пользователя и администратора.
Попытка входа с некорректным OTP — ожидаемый отказ.
Отключение WiKID — проверить поведение WebKeePass (ожидаемое: отказ аутентификации через LDAP).
Восстановление из бэкапа конфигурации и базы — проверка целостности.

Фактбокс

WebKeePass — open‑source, поддерживает многопользовательский режим.
WiKID предоставляет одноразовые пароли и LDAP‑интеграцию для 2FA.
Ключевой риск: единая точка хранения всех паролей требует сильной защиты и резервирования.

Модель принятия решения (Mermaid)

flowchart TD
  A[Нужен ли централизованный менеджер паролей?] -->|Да| B{Есть ли корпоративный WiKID/2FA?}
  B -->|Да| C[Развернуть WebKeePass + WiKID LDAP]
  B -->|Нет| D[Использовать WebKeePass + план по внедрению 2FA]
  A -->|Нет| E[Использовать локальные менеджеры или корпоративный SSO]

Безопасность и конфиденциальность

Шифруйте резервные копии хранилища паролей и храните ключи отдельно.
Ограничьте доступ к файлам конфигурации (WebKeePassConf.xml) и правам на запуск Tomcat.
Логируйте и мониторьте попытки входа, настройте оповещения о подозрительной активности.
Если в вашей организации есть требования по защите персональных данных (например, GDPR), проверьте, где хранятся учётные данные и как обрабатываются персональные данные пользователей.

Альтернативы и эволюция решения

Альтернативы WebKeePass: корпоративные хранилища с централизованным управлением ключами, секрет‑менеджеры (HashiCorp Vault), коммерческие SaaS‑менеджеры паролей с поддержкой 2FA и аудита. Выбор зависит от требований к аудиту, соответствию и управлению ключами.

Итог и рекомендации

WebKeePass в связке с WiKID через LDAP даёт простой способ добавить двухфакторную аутентификацию к корпоративному веб‑хранилищу паролей. Это уменьшает риск компрометации мастер‑аккаунтов и упрощает управление пользователями. Перед развёртыванием в продакшен выполните аудит безопасности WebKeePass, настройте резервное копирование, мониторинг и политики управления доступом.

Краткие шаги для запуска в продакшен: