Complete handleiding: Passbolt stap voor stap installeren op Debian

Vereisten en voorbereiding voor het installeren van Passbolt op Debian 13

Het installeren van Passbolt op een Debian 13-server vereist zorgvuldige voorbereiding en kennis van de essentiële componenten om een succesvolle installatie te garanderen. Passbolt is een open-source oplossing voor veilig wachtwoordbeheer binnen teams, gebaseerd op OpenPGP voor robuuste encryptie. Voordat u begint, is het belangrijk ervoor te zorgen dat het Debian-systeem up-to-date is en klaar is om deze veeleisende applicatie te hosten.

Log eerst in op uw Debian 13-machine via de commandoregel met een account met sudo-rechten of root-toegang. Een goede kennis van de commandoregel is essentieel om deze handleiding te volgen en elke stap correct uit te voeren.

Een essentieel onderdeel van deze installatie is het gereedschap. krulcurl wordt gebruikt om bestanden van internet te downloaden. Debian installeert curl niet automatisch, dus het moet geïnstalleerd worden:

apt-get update : werkt de lijst met beschikbare pakketten bij.
apt-get install curl : installeer curl op het systeem.

Passbolt vereist ook de installatie van MariaDB, die als lokale database zal dienen, en Nginx als webserver.

Een andere essentiële voorbereidende stap is het controleren of het systeem beveiligde TLS-verbindingen ondersteunt, aangezien beveiliging cruciaal is voor het gebruik van Passbolt. Hoewel het mogelijk is om later een certificaat toe te voegen, biedt het beheren van een TLS-certificaat een extra beveiligingslaag, waardoor het onderscheppen van communicatie tussen gebruikers en de server wordt voorkomen.

Bovendien vereist de Debian 13-omgeving minimaal 2 GB RAM voor een soepele werking, vooral als meerdere gebruikers tegelijkertijd toegang hebben tot de manager. Qua schijfruimte wordt ongeveer tien gigabyte aanbevolen voor het opslaan van databases en back-ups.

Tot slot een lijst met vereisten voor een vlotte installatie:

Debian 13 is up-to-date en toegankelijk via SSH.
Root-account of gebruiker met sudo-rechten.
Krul installeren.
MariaDB-server en Nginx-webserver zijn beschikbaar.
Domeinnaam of openbaar/privé IP-adres geconfigureerd voor servertoegang.
Toegang tot de terminal en basiskennis van Linux-serverbeheer.
Stel een back-upstrategie voor uw gegevens op.

Deze lijst vormt de basis voor de volledige installatie van Passbolt, een welkome stap richting autonomie door middel van open source en totale controle over de beveiliging van uw wachtwoorden.

Gedetailleerde procedure voor het installeren van Passbolt op een Debian-server: repositories toevoegen en installatie

Passbolt Community Edition (CE) kan zeer efficiënt worden geïnstalleerd met behulp van de officiële repositories die door het projectteam worden aangeboden. Dit vereenvoudigt het beheer van updates en afhankelijkheden met APT aanzienlijk. Het proces begint met het downloaden van een specifiek script dat de benodigde repository toevoegt aan uw lijst met Debian-pakketbronnen.

Het script passbolt-repo-setup.ce.sh Het is toegankelijk via curl, samen met een SHA512-checksumbestand om de integriteit en veiligheid van gedownloade bestanden te verifiëren. Het gebruik van deze controle is cruciaal, met name om inbreuken te voorkomen bij het downloaden van essentiële pakketten.

Download beide bestanden:
curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh
curl -LO https://github.com/passbolt/passbolt-dep-scripts/releases/latest/download/passbolt-ce-SHA512SUM.txt
Controleer de integriteit en voeg de repository toe:
sha512sum -c passbolt-ce-SHA512SUM.txt && bash ./passbolt-repo-setup.ce.sh || echo "Ongeldige checksum. Aborting" && rm -f passbolt-repo-setup.ce.sh

Deze opdracht valideert het scriptbestand met behulp van SHA512-checksums en voert het alleen uit als alles correct is. Dit voorkomt de installatie van schadelijke of beschadigde pakketten. Wanneer de repository wordt toegevoegd, wordt de pakketlijst automatisch bijgewerkt.

Installeer vervolgens eenvoudig het Passbolt Community Edition-pakket:

apt install passbolt-ce-server

De installatie biedt een interactieve wizard. Deze wizard vraagt u om de parameters om Passbolt met de MariaDB-database te verbinden. Het doel is:

Maak een speciale Passbolt-gebruiker aan in MariaDB.
Stel een veilig wachtwoord in voor deze gebruiker.
Maak een database aan die uitsluitend wordt gebruikt voor het opslaan van Passbolt-wachtwoorden en -metadata.

De volgende stap is het configureren van de Nginx-webserver. Passbolt biedt de mogelijkheid om deze configuratie te automatiseren, zodat de applicatie snel en eenvoudig op het gewenste domein of IP-adres kan worden geïmplementeerd.

Een laatste belangrijk punt over deze assistent betreft het TLS-certificaat: u hebt drie opties:

geen Sla de TLS-configuratie over, die wordt later uitgevoerd.
handmatig : verstrek een eerder verkregen certificaat en privésleutel.
auto : sta het systeem toe om een automatische generatie via Let’s Encrypt te proberen (vereist openbare toegankelijkheid).

De automatische optie is een uitstekende oplossing als de server toegankelijk is via het openbare internet. Voor intern gebruik is het handmatig beheren van een bedrijfscertificaat vaak veiliger. Vergeet ten slotte niet om de MariaDB-database te beveiligen met het ingebouwde script. mysql_secure_installation Of mariadb-veilige-installatie, waardoor anonieme gebruikers worden verwijderd en de toegang tot het root-account wordt geblokkeerd.

Het beheren en implementeren van TLS-certificaten voor optimale beveiliging op Passbolt.

De beveiliging van een wachtwoordmanager is van essentieel belang. Het gebruik van een TLS-certificaat zorgt niet alleen voor een versleutelde verbinding tussen de client en de server, maar garandeert ook dat de communicatie daadwerkelijk met de legitieme server plaatsvindt, waardoor het risico op een man-in-the-middle-aanval wordt vermeden.

In het geval van een Passbolt-installatie op een intern adres, bijvoorbeeld https://passbolt.it-connect.localHet is aan te raden een TLS-certificaat te gebruiken dat is uitgegeven door een interne certificeringsinstantie (CA) – in een bedrijfsomgeving vaak een Active Directory Certificate Services (AD CS)-oplossing. Dit certificaat garandeert volledig vertrouwen en een naadloze integratie met bestaande infrastructuren.

De belangrijkste stappen voor het beheren van een TLS-certificaat zijn:

Een certificaatondertekeningsverzoek (CSR) genereren of een bestaand certificaat ophalen bij uw certificeringsinstantie (CA).
Veilige overdracht van het certificaat (.cer) en de privésleutel (.key) naar de Debian-server via scp of een tool zoals WinSCP.
De bestanden in een beveiligde map plaatsen, meestal onder /etc/ssl/certs En /etc/ssl/private met de juiste vergunningen.
Passbolt opnieuw configureren om deze bestanden te gebruiken:

dpkg-reconfigure passbolt-ce-server Start de minimaal noodzakelijke herinstallatie.
Sla de databaseconfiguratie over.
Kies voor handmatige TLS-configuratie.
Geef de volledige paden naar het certificaat en de sleutel op.

Nadat de wijzigingen zijn doorgevoerd, volstaat een eenvoudige herlaadactie van de Nginx-configuratie via systemctl reload nginx Dit is voldoende om TLS-beveiliging te activeren.

Deze aanpak kan ook worden aangevuld met de integratie van een reverse proxy met een WAF (Web Application Firewall) of tools zoals Fail2ban of CrowdSec, om een extra beveiligingslaag toe te voegen tegen netwerkaanvallen gericht op Passbolt.

Samenvattend gaat het beheer van TLS-certificaten verder dan een simpele installatie: het is een uitgebreid proces dat regelmatige certificaatrotatie, beveiligingsmonitoring en het waarborgen van veilige toegang omvat. Passbolt biedt als open-source tool deze essentiële flexibiliteit in veeleisende professionele omgevingen.

Voltooi de eerste installatie en maak het Passbolt-beheerdersaccount aan.

Na de serverinstallatie wordt de initiële configuratie van Passbolt rechtstreeks via de webinterface uitgevoerd. Deze stap is essentieel om de wachtwoordmanager klaar te maken voor gebruik in de praktijk, met name voor veilige samenwerking.

Om dit te doen, opent u uw browser en gaat u naar het adres dat is geconfigureerd voor Passbolt, bijvoorbeeld https://passbolt.it-connect.localJe zou een webgebaseerde installatiewizard moeten zien die je door de volgende stappen leidt:

Databaseverbinding: Voer de host (meestal 127.0.0.1), de eerder aangemaakte gebruiker en het wachtwoord, en de databasenaam in.
Een OpenPGP-serversleutelpaar aanmaken: Om deze sleutel te genereren, moeten een naam en e-mailadres worden opgegeven. Deze sleutel wordt gebruikt om wachtwoorden die op de server zijn opgeslagen te versleutelen.
Toegangs-URL-validatie: Het Passbolt-serveradres wordt automatisch ingevuld, maar kan worden gewijzigd. Het wordt aanbevolen om het gebruik van SSL af te dwingen.
SMTP-instellingen: Configureer het verzenden van e-mails voor meldingen (SMTP-servernaam, inloggegevens, e-mailadres van de afzender). Een testverzending is mogelijk via de interface.
Het beheerdersaccount aanmaken: Gelieve de voornaam, achternaam en het e-mailadres van de toekomstige hoofdbeheerder op te geven.

Tijdens dit proces wordt een essentieel element geïntroduceerd: het aanmaken van een persoonlijk hoofdwachtwoord voor het beheerdersaccount. Dit wachtwoord fungeert als de privésleutel om de wachtwoorddatabase te ontgrendelen. De sterkte van dit wachtwoord is cruciaal, aangezien niemand zonder dit wachtwoord de gegevens kan herstellen.

Het systeem biedt ook de mogelijkheid om de Passbolt-browserextensie te installeren, die essentieel is voor het genereren en gebruiken van OpenPGP-sleutels aan de clientzijde. Het herstelbestand heet passbolt-recovery-kit.txtDeze moet zorgvuldig bewaard worden: het is uw versleutelde privésleutel, de enige manier om de toegang te herstellen als u deze vergeet.

We stellen het visuele personalisatiesysteem bij de eerste toegang op prijs, met een kleur en een drielettercode die uw browser visueel identificeren. Deze maatregel beschermt tegen phishingpogingen.

Na het inloggen kan de beheerder wachtwoorden toevoegen aan zijn of haar persoonlijke kluis, gebruikers uitnodigen en machtigingen beheren, waardoor een veilige en efficiënte samenwerkingsomgeving voor het hele team wordt gegarandeerd.

Aanbevelingen en tips voor het beveiligen en onderhouden van een Passbolt-server onder Debian

Het installeren van Passbolt is slechts de eerste stap in een doorlopend proces om de gevoelige gegevens van uw organisatie zo goed mogelijk te beschermen. Gezien de toenemende complexiteit van cyberaanvallen in 2025 is het essentieel om een alomvattende beveiligingsstrategie te hanteren voor de Debian-server waarop deze wachtwoordmanager draait.

Hieronder volgen enkele essentiële best practices die u vanaf de implementatiefase in acht moet nemen:

Update Debian en Passbolt regelmatig: De updates brengen niet alleen nieuwe functies met zich mee, maar vooral ook oplossingen voor kritieke beveiligingslekken.
Beveiliging van de toegang tot de server: Geef de voorkeur aan SSH-verbindingen via publieke sleutels in plaats van klassieke wachtwoorden en schakel root-toegang uit bij directe verbindingen.
Installeer een firewall: UFW of nftables kunnen verbindingen beperken tot essentiële poorten, met name 80 en 443 voor Nginx, en 22 voor SSH.
De MariaDB-database versterken: zet de begonnen verharding voort mariadb-veilige-installatiedoor privileges te beperken en sterke wachtwoorden te gebruiken.
Fail2ban of CrowdSec configureren: Deze tools bieden proactieve bescherming tegen brute-force-aanvallen op SSH en Nginx.
Logcontrole: Implementeer een oplossing zoals Logwatch of Graylog om gebeurtenissen te monitoren en afwijkingen te detecteren.
Regelmatige back-up: Dagelijkse back-up van Passbolt-databases en Nginx-configuratie, met een beproefde herstelstrategie.
Beperk beheerdersgebruikers: Verleen beheerdersrechten alleen aan accounts die strikt noodzakelijk zijn.

Bijvoorbeeld het bedrijf SecureCorp[Bedrijfsnaam], gespecialiseerd in projectmanagement voor de publieke sector, beheert sinds 2024 een Passbolt-server die draait op Debian 13. Hun routine omvat een maandelijkse logcontrole en een driemaandelijkse rotatie van het TLS-certificaat. Ze integreren ook Fail2ban om verdachte IP-adressen snel te blokkeren na drie mislukte verbindingspogingen.

Tot slot zijn de officiële documentatie en de Passbolt-community essentiële bronnen om op de hoogte te blijven van nieuwe versies en beveiligingspatches. Waakzaamheid ten aanzien van zero-day-kwetsbaarheden en training in gebruikersbeveiliging blijven cruciaal voor een effectief gebruik van Passbolt.