Релизы #

🐼 Новые возможности платной версии:

⁃ У избранных элементов и папок появился отдельный раздел в панели управления и виджет на главной странице.

🐻 Новые возможности бесплатной версии:

⁃ На главной странице появился виджет аналитики паролей;
⁃ Добавлена возможность импорта и экспорта данных в формате JSON;
⁃ Добавлена возможность импорта паролей из Passwork;
⁃ В центр уведомлений добавлено уведомление о появлении новой версии приложения;
⁃ В файле конфигурации теперь можно указать правила CSP для встраивания приложения в iframe;

🛠 Другие изменения и устранения багов:

⁃ Обновлены зависимости приложения;
⁃ Исправлена некорректная работа окна подсказки при поиске в некоторых случаях;
⁃ Исправлено отображение при наведении таблиц в Safari;
⁃ Исправлена ошибка с управлением правами на конкретные элементы в профиле пользователя;
⁃ Обновлен интерфейс раздела "Импорт/Экспорт".

🎉 НОВЫЙ ДИЗАЙН ИНТЕРФЕЙСА!!!

Все эти полтора года нас хвалили за наш аскетичный дизайн одни и ругали другие. Мы долго сомневались, но всё-таки решились и втихаря последние несколько месяцев работали над совершенно новым дизайном.

Этот релиз мы откладывали трижды, чтобы еще немного подшлифовать или отполировать всякие мелочи, но решились представить первые результаты на ваш строгий суд.

⁃ Мы постарались тщательно протестировать продукт, но всё-таки не судите строго — это первая публикация в новом дизайне, поэтому возможны мелкие шероховатости. В ближайшие недели мы уже в фоновом режиме продолжим улучшать дизайн, но если вы что-то заметите, пожалуйста, расскажите нашему боту поддержки. Он будет бесконечно рад и благодарен.

⁃ Еще больше он будет рад вашей обратной связи — если вам чего-то не хватает в продукте, если у вас есть идеи о новых возможностях для продукта — не держите это в себе! Расскажите об этом нам. Мы обязательно разберём все пожелания, приоритезируем, поставим в бэклог разработчикам и сделаем так быстро, как это только возможно.

🐼 Новые возможности платной версии:

⁃ LDAP: добавлена возможность задавать отдельный DN для групп;
⁃ LDAP: добавлена возможность выбора групп пользователей, подлежащих синхронизации;
⁃ LDAP: добавлен интерфейс проверки авторизации в настройках провайдера;

🛠 Другие изменения и устранения багов:

⁃ Удаление старых токенов авторизации теперь происходит каждую минуту;
⁃ Добавлено уведомление о скором истечении лицензии (не забывайте, что до срока истечении продлиться можно с существенной скидкой);
⁃ Разделены сообщения в общем журнале и журнале элемента для большей наглядности;

🐼 Новые возможности платной версии:

⁃ В выборе пользователей LDAP при синхронизации теперь можно искать по имени и фамилии;
⁃ Добавлена возможность игнорирования ошибок сертификата LDAP - эта опция может пригодиться ряду корпоративных пользователей, использующих "самоподписанные" сертификаты;

🐻 Новые возможности бесплатной версии:

⁃ Добавлен коннектор для импорта паролей из KeePass XML. Теперь переходить на наш продукт из KeePass станет значительно удобнее - в разделе "Импорт" настроек появились дополнительные поля.

🛠 Другие изменения и устранения багов:

⁃ Обновлен фреймворк и зависимости;
⁃ Поправлена ошибка с кешем RBAC;
⁃ В случае ошибок взаимодействия с LDAP в логах приложения больше не будут отображаться реквизиты;
⁃ Исправлена ошибка добавления пробела при выделении пароля дабл-кликом в Firefox;

Это мажорный релиз, потому что мы вынуждены отказаться от поддержки старой версии PHP 8.0.

Для PHP 8.0 в ближайшее время перестанут выходить обновления безопасности, кроме этого поддержка новейших функций и методов важна для возможности развития продукта.

Обновление по кнопке не сработает для мажорных релизов. Обновление можно выполнить с помощью короткой инструкции: https://docs.bearpass.ru/guide/update.html

🐼 Новые возможности платной версии:

⁃ Добавлена возможность взаимодействия с приложением через API для более глубокой интеграции продукта в вашу инфраструктуру. Документация описана в Swagger, ее можно увидеть в соответствующем разделе интерфейса. Возможность использования API ключей регулируется правом RBAC.

🛠 Исправления и устранения багов:

⁃ Обновлены зависимости приложения под PHP 8.2;

🐼 Новые возможности платной версии:

⁃ Добавлена возможность выбора конкретных пользователей для LDAP-синхронизации;
⁃ Добавлена возможность включения SSO для пользователей, добавленных через LDAP.

🐻 Новые возможности бесплатной версии:

⁃ Новое право RBAC: Возможность создания новых папок в корне.

🛠 Исправления и устранения багов:

⁃ Улучшен вывод ошибки LDAP-синхронизации;

🐻 Новые возможности бесплатной версии:

⁃ Администратор теперь может самостоятельно настраивать права для различных ролей пользователей (RBAC)! Теперь вы не ограничены двумя ролями "Пользователь" и "Администратор" и можете создавать любые другие. Кроме того, можете менять список прав роли "Пользователь", например запретив создавать ссылки на пароли или архивацию элементов. В следующих релизах список доступных прав будет увеличиваться.

🛠 Исправления и устранения багов:

⁃ На странице списка пользователей выведено количество активных пользователей;
⁃ В настройки SSO добавлено поле для выбора формата идентификатора названия;
⁃ Добавлено уведомление, если браузер не позволяет использовать буфер обмена;
⁃ Внедрено мутационное тестирование, это повысит качество тестов приложения;

🐼 Новые возможности платной версии:

⁃ Добавлена возможность фоновой синхронизации пользователей LDAP;
⁃ Реализован частичный импорт пользователей LDAP, если их количество выходит за рамки лицензии;
⁃ Добавлен режим отладки LDAP, он активируется при включении режима отладки приложения;

🐻 Новые возможности бесплатной версии:

⁃ В контекстное меню папки добавлена возможность создания пароля;
⁃ Экспорт теперь происходит в зашифрованный ZIP архив;
⁃ На странице обновления добавлена информация о версии PHP, модулях и статусе режима отладки;

🛠 Исправления и устранения багов:

⁃ Исправлена ошибка определения актуальности версии;
⁃ Исправлена ошибка некорректного парсинга порта LDAP;
⁃ Из контекстного меню убраны пункты, запрещенные правами пользователя;
⁃ Оптимизировано потребление памяти при LDAP синхронизации;

🐼 Новые возможности платной версии:

⁃ Добавлена возможность загрузки файлов в дополнительные поля элемента. Каждый файл шифруется своим ключом. Файлы в персональных элементах дополнительно шифруются на клиенте мастер-паролем пользователя. По умолчанию файлы хранятся локально, но можно настроить хранение в приватном s3 контейнере: https://docs.bearpass.ru/guide/file-storage.html

🛠 Исправления и устранения багов:

⁃ Улучшен UI копирования данных пароля;
⁃ Теперь при наведении можно увидеть полное название элемента, если оно обрезается;
⁃ Убран лишний интерфейс доп. полей у папки;

🐼 Новые возможности платной версии:

⁃ SSO SAML: добавлена возможность задать маппинг полей.
⁃ SSO SAML: добавлена возможность настроить шифрование и подписи.
⁃ LDAP/SSO: добавлена возможность отвязки пользователя от провайдера.

🛠 Исправления и устранения багов:

⁃ Теперь при синхронизации LDAP или авторизации через SSO пользователя, существующего в приложении и не привязанного ни к какому провайдеру, автоматически будет осуществлена его привязка. Это решает конфликт, когда пользователь был создан вручную, а затем настроена интеграция со службами LDAP/SSO.

Реализована работа с пользовательскими полями

Расширение можно скачать из официального магазина Chrome

🐻 Новые возможности бесплатной версии:

⁃ Долгожданные "Пользовательские поля": теперь к паролям можно добавлять дополнительные поля, в том числе TOTP ключ, для возможности прохождения второго фактора авторизации.

Теперь вы можете хранить в записи любую информацию, которая вам необходима — вспомогательные PIN и PUK-коды, сертификаты, секретные слова для восстановления пароля — что это будет, решать только вам.

🐼 Новые возможности платной версии:

⁃ Мы доработали авторизацию в расширении: теперь не нужно больше вводить логин-пароль в попапе — расширение теперь авторизуется в один клик через основное приложение!

🛠 Исправления и устранения багов:

⁃ Поправили много мелких проблем в адаптиве и работе PWA.
⁃ Теперь после SSO-авторизации сохраняется URL страницы, на которой она была начата.
⁃ LDAP-интеграция: теперь при синхронизации существующие пользователи обновляются.

Реализована поддержка входа в один клик, если версия "коробки" его не поддерживает авторизация будет как и раньше предлагать попап для ввода логина и пароля.

🛠 Мелкие исправления и устранения багов:

⁃ обновлены зависимости приложения.
⁃ теперь при вводе хоста схема подставляется автоматически, если пропущена.
⁃ убрана проблема автокомплита в поле ввода мастер-пароля.

Напомним, расширение можно скачать из официального магазина Chrome

🐼 Новые возможности платной версии:

⁃ Реализована интеграция с технологией SSO через популярный протокол SAML. Теперь BearPass можно связать с популярными приложениями, использующими эту технологию (мы тестировали на OneLogin, YouTrack и Google).

Работает так: необходимо указать параметры ldP в настройках, включить опцию и в форме логина появляется кнопка "Войти через SSO".

🛠 Мелкие исправления и устранения багов:

⁃ LDAP-интеграция: исправление незначительных багов.

🐻 Новые возможности бесплатной версии:

⁃ Этот релиз посвящен техдолгу. В нем нет новых возможностей, но мы настоятельно рекомендуем вам обновиться до актуальной версии, т.к. теперь приложение поддерживает актуальные версии php версий 8.0 и 8.2.

Почему это важно? Уже с ноября PHP перестанет получать обновления безопасности для более старых версий продукта https://www.php.net/supported-versions.php. Наш продукт — средство информационной безопасности, и мы делаем все возможное, чтобы обеспечить максимальную степень защиты ваших данных, а значит и использование только самых актуальных и безопасных компонент.

Инструкция по обновлению php и переключению на него приложения

🛠 Мелкие исправления и устранения багов:

⁃ LDAP-интеграция: теперь пользователь не может изменить свой локальный пароль в профиле BearPass.
⁃ LDAP-интеграция: расширили подсказку маски логина в настройках провайдера.
⁃ При выходе шифрованный мастер-пароль теперь сразу удаляется из хранилища.
⁃ Добавили параметр TITLE для страниц паролей, чтобы облегчить их идентификацию в списке истории просмотренных страниц браузера.
⁃ Поправили поле пароля, чтобы браузер не выдавал подсказками ранее введеные пароли.

Вы давно об этом просили и мы это сделали — теперь наше расширение умеет самостоятельно заполнять за вас поля логина и пароля. Та самая магия когда "Вжух!" и вы уже авторизованы.

Лучше один раз увидеть, поэтому записали для вас небольшое видео

Мы тщательно тестировали эту функцию и по нашим наблюдениям она работает примерно на 98% сайтов. Даже с последовательными полями — когда сперва нужно ввести логин и только на следующем шаге нужно ввести пароль.

Так что, если у вас где-то не будет срабатывать автозаполнение — пожалуйста, рассказывайте нам об этом. Будем постепенно разбираться и улучшаться. Как, собственно, и всегда мы это делаем ...

Напомним, расширение можно скачать из официального магазина Chrome

🐻 Новые возможности бесплатной версии:

⁃ 2FA - двухфакторная авторизация. Теперь в личном Профиле можно указать, хотите ли вы включить двухфакторную авторизацию. Мы подключили двухфакторную авторизацию для приложения с поддержкой TOTP (например, Google Authenticator). Всё, что потребуется сделать - отсканировать QR-код и ввести ответный код из приложения аутентификации. После того, как вы включите 2FA, авторизоваться в системе без ввода кода доступа из аутентификатора не получится. Если пользователь утратит доступ к устройству с приложением аутентификации, сбросить режим двухфакторной авторизации сможет только Администратор системы.

🐼 Новые возможности платной версии:

⁃ Ядерная кнопка для персональных сейфов. Теперь, в случае, если вы забыли мастер-пароль от личного хранилища, есть выход. В собственном Профиле появилась большая красная кнопка "Сбросить персональное хранилище", которая уничтожит все данные личного сейфа, но зато позволит начать жизнь "с нуля" - придумать новый мастер-пароль и заполнять личный сейф заново (и больше не терять мастер-пароль).

Этот релиз — особенный. В нем всего одно, но очень важное обновления — в сервисе появилась возможность создания персональных сейфов. Сейчас расскажем, как это работает ...

Переключатель режимов между корпоративным сейфом и личным расположен над списком папок (см. скриншот).

В отличие от подавляющего большинства других корпоративных сейфов, мы по-настоящему защитили ваше персональное хранилище. Это означает, что никто, кроме вас не сможет расшифровать (не говоря уже о том, чтобы посмотреть) ваши личные пароли.

"Никто" означает совсем никто, включая администратора вашего корпоративного сейфа и даже нас — создателей программы.

При попытке создать первую папку в личном сейфе, сервис попросит вас создать личный "мастер-пароль". Важно, что при первом вводе мастер-пароля на сервер отправляется зашифрованная 64-символьная случайная строка для проверки его корректности. При следующем вводе расшифровка производится на клиенте, а не на сервере.

Мастер-пароль хранится в локальном хранилище в зашифрованном виде и защищен временным токеном с сервера, "живущим" 10 минут, он никогда не отправляется на сервер. Этим мастер-паролем шифруются данные персонального элемента (логин, пароль, заметка) на клиенте с добавлением 32-символьной "соли" (случайного набора символов).

Так что теперь, в вашем любимом парольном менеджере можно (и даже нужно) хранить не только корпоративные, но и личные пароли. Это надежно и безопасно.

🛑 ВАЖНО !!! При утрате пароля от личного сейфа данные восстановить будет невозможно. Поэтому запомните или запишите мастер-пароль и храните его отдельно от других.

🐻 Новые возможности бесплатной версии:

⁃ Настраиваемые политики учетных записей пользователей. Раньше были встроенные не изменяемые требования к паролям пользователей BearPass. Теперь администратор системы сам может настраивать требования этой политики.

🐼 Новые возможности платной версии:

⁃ Настраиваемые политики для всего. У платных аккаунтов теперь есть возможность по-разному настраивать требования к паролям для отдельных папок или даже для отдельных записей — максимальная гибкость. Установленные политики для папки будут наследоваться вложенными элементами.

🛠 Мелкие исправления и устранения багов:

⁃ Теперь в настройках можно установить время жизни неактивной сессии пользователя, по истечении которого сервис потребует повторной авторизации. ⁃ При переключении между VPN и обратно больше не будет разлогинивать из сервиса. В новой версии реализована проверка IP по соседним сессиям пользователя. ⁃ LDAP-интеграция: добавлена маска логина для авторизации. ⁃ Расширено журналирование действий администратора. ⁃ Исправлен ряд несущественных ошибок в интерфейсах.

🐼 Новые возможности платной версии:

⁃ Появилась долгожданная поддержка протокола службы каталогов LDAP. Это означает, что теперь импортировать пользователей из LDAP-совместимых служб наподобие Active Directory станет проще. Протокол LDAP довольно непростой для обеспечения 100% бесшовной поддержки, поэтому если у вас что-то будет не получаться — пишите нам пожалуйста. Будем бесплатно активно помогать и отлаживать поддержку протокола.

⁃ Экспорт журнала событий в дополнительные каналы (например, в syslog). Чтобы включить эту опцию нужно в .env добавить строку вида:

ADDITIONAL_LOG_CHANNELS=syslog

Вместо syslog можно использовать любой канал, определенный в config/logging.php или даже сразу несколько каналов, разделяя их запятой.

🐻 Возможность "поделиться" паролем:

⁃ Через иконку "ссылка" теперь можно создать одноразовую или многоразовую ссылку, с помощью которой можно поделиться паролем с человеком, которого вы не хотите добавлять в свой парольный менеджер. Такая ссылка может быть одноразовой или многоразовой со сроком жизни от одного часа до трех месяцев. Круто ведь?!

🛠 Мелкие исправления и устранения багов:

⁃ Мы сделали возможность развертывания продукта через Docker. Теперь установить его стало еще проще (если, конечно, вы умеете работать с докером). Внесли соответствующие изменения в документацию.

🐻 Система уведомлений:

⁃ Рядом с профилем пользователя теперь появился индикатор новых системных уведомлений. Теперь каждый раз, когда кто-то делится с вами паролем или добавляет вас в группу, вы будете узнавать об этом из таких уведомлений. А еще, раз в месяц мы будем направлять вам краткий отчет по аналитике уязвимости ваших паролей в виде коротенького системного сообщения.

⁃ Появилась долгожданная функция встроенных обновлений, с помощью которой можно не только узнать текущую версию вашего продукта, но и обновиться до последней версии, нажав на кнопку в интерфейсе. Просто, удобно, изящно — все, как вы любите. Но в этот (последний) раз обновиться всё-таки придется вручную (ссылка в конце поста, как обычно).

🛠 Мелкие исправления и устранения багов:

⁃ Ссылки, добавленные в поле "Заметки" к записям о паролях теперь подсвечиваются. ⁃ Теперь в настройках можно управлять сроком, через который пароль будет считаться устаревшим в аналитике. По умолчанию эта переменная установлена в "6 месяцев" — то есть мы считаем, что раз в полгода нужно менять пароль, но теперь вы можете считать иначе.

🐻 Новые возможности бесплатной версии:

⁃ Переработали карточку пользователя, добавив в нее возможность предоставлять доступ и просматривать историю действия этого конкретного пользователя. Теперь администратору системы станет работать еще проще — можно будет быстро получить ответ на вопрос: "доступы к каким сервисам есть у того или иного пользователя".

🐼 Новые возможности платной версии:

⁃ Появилась возможность добавлять папки и пароли в "избранное" — такие записи будут появляться в самом верху списка, находить их будет быстрее, а пользоваться сервисом удобнее.

🛠 Мелкие исправления и устранения багов:

⁃ Обновили зависимости приложения. Это повысит стабильность и безопасность его работы.

🐻 Новые возможности:

⁃ Одно из самых важных изменений этого релиза: добавили привязку сессии к IP адресу. Это не позволит воспользоваться доступом в случае утечки сессионных данных с устройства. Привязка по умолчанию включена - поэтому ваших пользователей при первом же заходе выбросит из старой сессии и нужно будет авторизоваться заново. Функция повышает безопасность, но может быть неудобна при частой смене IP. Поэтому привязку можно отключить в настройках продукта.

⁃ Появилась возможность архивации элементов. Более не используемые пароли (и целые папки) теперь можно убрать в архив, чтобы не захламлять навигацию. До архивных папок и паролей всегда можно будет добраться, просмотреть данные и восстановить запись из архива.

⁃ Добавили настройки генератора пароля Теперь при создании пароля вы можете сами настроить степень его параноидальности сложности: длину пароля, а также требования к составу символов.

🛠 Мелкие исправления и устранения багов:

⁃ Журналирование стало более подробным. История изменения прав теперь более детализированная: теперь мы фиксируем не только того, кто внес изменения, но и какие именно.

⁃ Появился мультиселект выбора группы пользователя. Стало удобнее управлять группами в карточке пользователя.

🐻 Новые возможности:

⁃ Опубликовано расширение для браузера Chrome.

Расширение поможет авторизовываться на ваших сайтах буквально в один клик без необходимости заходить в сам веб-сервис.

Расширение можно скачать в официальном интернет-магазине Chrome

Для его работы необходима актуальная (1.10.0) версия веб-сервиса и один из платных тарифов (или любой тариф бесплатного 14-дневного триала). На бесплатном тарифе расширение работать не будет.

⁃ Контекстное меню для паролей и папок

Теперь по правому клику мыши можно вызвать контекстное меню с часто используемыми операциями (скопировать логин, скопировать пароль, изменить, удалить).

🛠 Мелкие исправления и устранения багов:

⁃ Добавили фильтры и сортировку в Журнал действий.

⁃ Добавили быстрый переход в карточку объекта из Журнала действий.

⁃ Добавили уведомление, появляющееся при превышении лимита пользователей для выбранного тарифа

⁃ Добавили возможность “набивать” пользователей в Группы. Это улучшение призвано значительно упростить работу с группами.

🐻 Новые возможности:

⁃ Добавили проверку паролей на компрометацию.

В настройках проверку можно отключить.

После обновления проверку можно запустить немедленно командой: php artisan security:check-for-compromised

🛠 Мелкие исправления и устранения багов:

⁃ Скорректировали верстку для мобильных устройств. Теперь админ. панель отображается корректно.

⁃ Заблокированные пользователи не будут отображаться в списке пользователей, которым можно выдать доступ.

🐻 Новые возможности:

⁃ Добавили логи просмотров паролей. Теперь можно увидеть, какие пароли просматривал пользователь (В настройках можно установить период хранения).

⁃ Сделали настройки почтового сервера более гибкими. Добавили описание в документацию (https://docs.bearpass.ru/guide/application-install.html пункт 13).

⁃ Теперь вы видите, какая версия приложения у вас установлена (в левом меню).

⁃ Если приложение было обновлено, всем пользователям прилетит уведомление о том, что необходимо обновить страницу.

🛠 Мелкие исправления и устранения багов:

⁃ Теперь ссылка считывается даже в том случае, если перед ней не указали http/https.

⁃ Заблокированные пользователи не будут входить в расчёт лицензии (если у вас лицензия на 10 человек. Вы пользовались вшестером, заблокировали 1 юзера, программа будет считать, что у вас 5 пользователей).

⁃ Теперь при удалении пароля вас не будет перекидывать в корневую директорию, вы будете оставаться в той же папке, из которой был удалён пароль.

⁃ Неиспользуемые 2 недели токены авторизации будут удаляться (если пользователь не заходил в приложение 2 недели - его разлогинит).

🐻 Новые возможности:

• Добавили сортировку и фильтры в интерфейсы управления пользователями.

🛠 Мелкие исправления и устранения багов:

• Во избежание конфликтов с блокировщиками рекламы, теперь аналитика открывается и запрашивается по url /quality* вместо /analytics*.

• В интерфейсе, при нажатии на ник, выпадающее меню вылезает за экран (macbook 13").

• При создании пользователя через artisan make:user можно было ввести пароль меньше 8 символов, игнорируя регламенты безопасности. Скорректировали консольную команду генерации администратора. Теперь она просит ввести все данные как и в веб-интерфейсе, и так же валидирует и выводит ошибки.

• На странице входа переименовали label с "Логин" на "Email". Если можно будет ввести что-то иное изменим обратно на Логин и сделаем подсказку.

• Исправили фантомную 500 ошибку с несуществующим роутом.