关于vaultwarden自建被拖裤

mygit

一直用的1p密码管理器，我也自建了个vaultwarden准备做备份。
但是自建的服务器安全防护肯定会有漏洞，如果被拖vaultwarden库（data），没有我的主密码，正常也解不了我的密码库吧？
不知道vaultwarden库的加密是什么方式的。
不太明白。有大佬介绍解释下吗？

mygit

看到好像是这个加密
加密存储：Bitwarden将所有的密码和账户信息加密后存储在云端或本地设备，并使用256位AES加密和PBKDF2 SHA-256哈希算法保护数据安全。每个用户都有自己的主密码，这是唯一能够解锁其加密数据的密码。
那是不是如果我主密码带大小写特殊符号的强密码基本可以确定不会被破解？

heiyu

自建正常不对对外开放应该没什么问题吧？
就算对外开放加上端口应该也问题不大把？
除非你得罪什么人了，要这么针对你
我用了好几年了，至少到现在没出过问题

awa

安全防护建议
强主密码：使用复杂且足够长的主密码。
两步验证：启用两步验证（2FA），增加额外的安全层。
定期更新：保持Vaultwarden和操作系统的更新，修补已知的安全漏洞。
网络安全：确保服务器的网络安全，例如使用HTTPS、限制开放端口等。
数据备份：定期备份你的数据，但这些备份也应该加密存储。

awa

如果被拖库，会发生什么？
数据安全：如果Vaultwarden库被拖库，攻击者获得的只是加密后的数据。如果没有你的主密码，这些数据对他们来说是无用的。即使他们能够访问服务器上的数据库，他们也无法解密你的密码库内容，因为加密密钥是从你的主密码推导出来的。
潜在风险：
中间人攻击：如果服务器被攻破，攻击者可能尝试通过中间人攻击来窃取你的主密码输入。但这需要在你登录时进行实时攻击。
暴力破解：理论上，如果攻击者获得了加密数据和哈希密钥，他们可能会尝试暴力破解你的主密码，但由于现代加密标准和高迭代次数的密钥推导，这非常困难且耗时。

awa

客户端加密：你的密码库（vault）内容在客户端（你的设备）上进行加密，而不是在服务器上。这意味着即使服务器数据被泄露（俗称“拖库”），在没有你的主密码的情况下，数据是无法被解密的。Vaultwarden使用AES-256位加密来保护你的数据。
主密码：你的主密码是加密和解密密码库的关键。Vaultwarden在服务器端只存储加密后的数据和一个密钥的哈希值（用于验证），但不存储你的主密码本身。
密钥推导：Vaultwarden使用PBKDF2（Password-Based Key Derivation Function 2）来从你的主密码生成加密密钥。这个过程会根据你设置的迭代次数进行计算，以增加破解的难度。