Sådan læser du en sikkerhedsrevision af en adgangskodemanager: Cure53, ISE, SOC 2 — og hvad hver enkelt faktisk dækker
Forskellige revisionstyper kontrollerer forskellige ting. Cure53 dækker den kryptografiske implementering; SOC 2 dækker organisatoriske kontroller. Her er, hvad hver stor adgangskodemanager faktisk har offentliggjort.
De tre relevante revisionstyper
(1) Kryptografi- / penetrationsrevision — et sikkerhedsfirma (Cure53, ISE, NCC Group, Praetorian) undersøger den kryptografiske implementering, serverens adgangskontroller og klientapps og rapporterer fund med alvorlighedsgradering. Revisionen er god, når den fulde rapport offentliggøres med revisorens navn, dato og omfang. (2) SOC 2 Type II — en revision af organisatoriske kontroller, der dækker sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv på operationelt niveau over et observationsvindue på 6+ måneder. (3) ISO 27001 — en certificering af et ledelsessystem for informationssikkerhed. Type 1 ≠ Type 2, omfanget betyder mere end mærket.
Hvad hver manager har offentliggjort
Bitwarden: årlige tredjepartsrevisioner (Cure53, ISE, Insight Risk Consulting); rapporter linket fra bitwarden.com/help/is-bitwarden-audited. 1Password: SOC 2 Type II + ISE-penetrationstest; revisionshistorik på 1password.com/security-audit. Proton Pass: fuld Cure53-sikkerhedsrevision ved lanceringen (2023, ingen kritiske fund, moderate fund afhjulpet før lancering) ifølge proton.me/blog/pass-launch. NordPass: Cure53 white-box-revision feb. 2020, anden Cure53-revision af NordPass Business 2021, SOC 2 Type 2, ISO 27001-certificeret ifølge nordpass.com/features/security. KeePassXC: community-revideret open source — ingen bestilt tredjepartsrevision, men kildekoden er offentlig på GitHub.
Advarselssignaler i revisionsmarkedsføring
(1) En revision udført af et revisionsfirma uden et offentliggjort navn på et sikkerhedsfirma. (2) Et revisionsomfang begrænset til „applikationen“ uden at angive hvilke komponenter. (3) En revision ældre end 24 måneder på et produkt, hvis arkitektur har ændret sig. (4) Et opsummerende brev frem for en fuld rapport. (5) En revision udført før en større versionsudgivelse, der væsentligt ændrede den kryptografiske implementering. Ingen af de fem managere i denne sammenligning passer til disse mønstre; LastPass' kommunikation efter databruddet (udelukket fra denne sammenligning) udviste derimod flere af dem.
Hvad en revision ikke dækker
Revisioner dokumenterer, hvad sikkerhedsfirmaet kontrollerede på ét tidspunkt. De dækker ikke forsyningskædeangreb (kompromitterede npm-afhængigheder i klientbygget), insiderrisiko hos udbyderen eller nye sårbarheder, der opdages efter revisionsvinduet. Forsvarene mod disse er open source-klienter (så forskere kan verificere hver udgivelse uafhængigt — Bitwarden, Proton Pass, KeePassXC), bug bounty-programmer (1Password kører Bugcrowd; Bitwarden kører HackerOne) og arkitektoniske valg som 1Password Secret Key (en ekstra, lokalt gemt hemmelighed, der betyder, at et serverbrud alene ikke kan dekryptere boksene).
Kilder
Bitwarden-revisioner: bitwarden.com/help/is-bitwarden-audited. 1Password-sikkerhedsrevisioner: 1password.com/security-audit. Proton Pass Cure53-revision: proton.me/blog/pass-launch. NordPass-sikkerhed: nordpass.com/features/security. Cure53: cure53.de. ISE: securityevaluators.com. Alle URL'er tilgået 2026-04-30.