Парольный менеджер BearPass — как внутренний проект сотрудников превратился в продукт

Всем привет. Мы, Валерий Комягин, Сергей Никитченко и Константин Василенко, основатели корпоративного парольного менеджера BearPass.

Вообще, нас объединяет еще кое-что — все мы причастны к очень опытной студии заказной разработки SVK. Digital (ex Студия Валерия Комягина). Валерий — основатель студии, Сергей — ее технический директор, а Костя — один из наших ведущих разработчиков.

Как и многие студии заказной разработки мы долгие годы мечтали о создании собственного продукта — такого, в котором мы сами, а не заказчик, решали бы, что хорошо и что плохо. Продукта, с пользователями которого мы могли бы общаться напрямую.

Такая возможность представилась нам неожиданно, и мы решили рассказать свою историю читателям VC. ru. Возможно, такая статья вдохновит кого-то из наших коллег. А мы надеемся найти с её помощью первых пользователей и верим, что эта статья станет важной ступенью в успешном развитии нашего продукта.

Итак…

Собственно, зачем хранить пароли в какой-то программе, а не записывать их на листочке или в каком-нибудь файле вроде Блокнота?

Во-первых, это не очень удобно — файл и листочек не всегда под рукой. Во-вторых, совсем небезопасно — если злоумышленники доберутся до него, под угрозой окажутся ваши данные, а в ряде случаев и деньги (если, скажем, это был пароль от вашего клиент-банка).

Парольный менеджер — это централизованный “сейф”, хранящий ваши пароли в зашифрованном виде так, что они недоступны даже самим создателям таких программ.

Потребность в парольных менеджерах у компаний объясняется еще проще. При найме нового человека на работу, ему нужно предоставить доступ только к нужным сервисам, а при увольнении — нужно проследить, что он лишился всех доступов., ничего не унёс с собой, а в особенно параноидальных случаях, может быть и изменить пароли ко всем сервисам, с которыми он или она работали.

Пока в такой компании работает несколько человек — это, конечно же, не проблема. Но если в организации работает, как минимум, несколько десятков человек в самых разных подразделениях, имеющих доступ к различным сервисам предприятия, такие простые задачи могут стать настоящей головной болью для системного администратора.

В нашей компании было около полутора десятков человек тогда, когда мы поставили наш первый парольник — это был модуль KeyRights для Битрикс24 от наших коллег и друзей из студии Сибирикс.

Но со-временем мы подросли до 40 человек, отказались от Битрикс24, а вместе с ним и от KeyRights. Нужен был новый парольный менеджер.

На тот момент удобных “парольников” в мире была уйма, начиная от персонального Google Passwords и заканчивая такими проектами, как LastPass, 1Password или Bitwarden, часть из которых предоставляют, в том числе функцию корпоративного сейфа.

Но у большей части было две проблемы. Во-первых, большинство из них были достаточно дорогими — в среднем около $3 за пользователя в месяц, то есть для 50 сотрудников это было бы около $2 000 в год.

Во-вторых, большая часть решений была классическим облачным SaaS-сервисом, а наш техдиректор настаивал на том, что такую важную информацию, как пароли, он хочет контролировать полностью. Поэтому мы искали “коробочный вариант”, который мы могли бы разместить на своих внутренних серверах.

Так около года назад родилась идея написать такой парольный менеджер, о котором мы всегда мечтали: подходящий для корпоративного использования, безопасный, быстрый и непременно созданный на принципах Open Source — так, чтобы его могли дорабатывать другие программисты в том случае, если он кому-то понравится и кто-то, кроме нас самих захочет им пользоваться.

Ну и, что греха таить, авторы проекта — программисты, а программисты всегда мечтают создать какой-нибудь Open Source проект для того, чтобы все вокруг пользовались твоим продуктом и помогали его дорабатывать и для того, чтобы мир вокруг становился лучше: -)

Миграция на собственный парольный менеджер прошла довольно гладко и вот уже год мы с удовольствием им пользуемся.

Почему нам нравится BearPass?

• Это Self Hosted решение — парольный менеджер установлен на наших внутренних серверах и мы не зависим от внешних факторов.
• Проект создан на технологиях Open Source — в основе лежат технологии, с которыми работают миллионы разработчиков во всем мире: PHP Laravel и база данных PostgreSQL.
  
• Все пароли хранятся централизованно и надежно защищены алгоритмами шифрования стандарта AES-256.
  
• Предоставить доступ новичкам или лишить доступа уходящих сотрудников можно «в один клик».
  
• Благодаря удобной древовидной структуре и мощному поиску, сотрудникам легко находить и использовать пароли.
  
• Генератор паролей автоматически придумает пароль, подходящий под установленные регламенты безопасности.
  
• Есть подсистема “аналитики”, привычная для такого класса продуктов. Она позволяет отслеживать устаревшие пароли и пароли, не проходящие требования установленного регламента безопасности.
  
• В продукте реализован очень гибкий сценарий управления распределенном доступом — можно настроить доступ для отдельных ролей или даже для каждого сотрудника по отдельности.
  
• Подсистема журналирования событий позволит точно восстановить хронологию событий и обнаружить, кто именно совершил те или иные действия в системе.
  
• Last, but not least — система мультиплатформенная и доступна не только с персональных компьютеров, но и со смартфонов.
  

Проект, наверное, так и оставался бы внутренним продуктом, если бы не печальные геополитические события, приведшие к тому, что часть классных зарубежных сервисов ушла с российского рынка, а вторую часть стало очень затруднительно оплатить.

Кроме этого, на какое-то время здорово подскочил и курс доллара — популярные продукты и до этого были, мягко говоря, не бесплатными, а с валютными курсами конца февраля - начала марта, ценник и вовсе становился заоблачным.

В одном из профессиональных чатов, в которых мы состоим, кто-то из участников спросил, есть ли аналоги популярным парольным менеджерам с российскими корнями — такие, которым точно не страшны санкции?

Мы поняли, что это наш шанс, создали небольшой лендниг www.bearpass.ru, на котором коротко описали наш продукт, и договорились о пилотном внедрении BearPass с несколькими нашими коллегами по цеху.

Сейчас продукт прошел “проверку боем” и внедрен в нескольких компаниях с численностью персонала около 100 человек в каждом. Мы получили бесценный опыт, массу интересных идей для развития продукта, а разработчики одной из команд упаковали продукт в docker-контейнер (спасибо вам, друзья из PERX.ru).

Мы планируем развивать проект, и хотим зарегистрировать его в реестре отечественного программного обеспечения.

Бэклог для развития достаточно большой. Вот некоторые важные функции, которые должны появиться в продукте в ближайшее время:

• SaaS-версия — да, облачный вариант сервиса все-таки нужно будет реализовать потому, что Self Hosted, как оказалось, нужен далеко не всем.
• Расширение для браузеров, помогающее быстрее находить и использовать нужный пароль.
  
• Возможность создания персональных “сейфов” — тогда продукт можно будет использовать не только в качестве корпоративного, но и в качестве персонального “парольника”.
  
• Интеграция с популярными стандартами авторизации LDAP, SSO и oAuth для еще более удобного использования в больших корпорациях, привыкших к таким стандартам.
  
• Развитая система импорта и экспорта данных. Она есть и сейчас, но мы хотим добавить ей гибкости.

Если ваша компания задумывается о внедрении менеджера паролей или, в свете последних событий, вы планируете мигрировать с одного из зарубежных аналогов, — обратите на нас внимание. Возможно, наш продукт — именно то, что вы искали.

Для небольших команд (до 5 пользователей) продукт бесплатен и останется таким навсегда.

Мы надеемся, что более взрослые компании захотят “поддержать нас рублём”, для этого мы постарались установить максимально щадящие цены, сопоставимые по своему размеру с “донатами”: от 78 рублей за пользователя в месяц. Это даже меньше утренней чашки кофе, с которой любят сравнивать свои тарифы хипстерские стартапы :-)

Сообщество пользователей постепенно растёт и, если вы уже пользуетесь нашим продуктом, мы будем рады видеть вас в нашем Телеграм-чате — присоединяйтесь и расскажите, каких функций в продукте вам не хватает?

Мы, создатели BearPass, уверены, что вместе с вами мы можем сделать парольный менеджер, родом из России, который сможет превзойти своих именитых коллег!

P.S. Благодарим издание VC.ru за предоставление нам “Трибуны” и возможность рассказать о проекте.