Bitwarden Alternative PearPass pausiert die Entwicklung

PearPass ist ein Passwort-Tresor ganz ähnlich wie Bitwarden mit dem fundamentalen Unterschied der Dezentralität ohne Serverkomponente. Leider wurde die Entwicklung unerwartet eingefroren. Die Entwickler (thether.io) sind in der Kryptobranche extrem bekannt durch ihren USDT Stablecoin.

Dass die Entwicklung bis auf weiteres angehalten wurde steht seit 5 Tagen im offiziellen Github Repistory: Warning. PearPass is currently paused from active development, so please use at your own caution until further notice.

«Dezentrales Bitwarden»

PearPass hat mich als langjähriger Bitwarden Anwender sofort «gehooked». Eine Passwort Tresor App über alle möglichen Endgeräte synchronisiert ohne Serverkomponente? Verfügbar auf Android, iOS, Windows und Linux? Entwickelt von einer Firma, die ganz offensichtlich sehr viel Ahnung von Kryptografie hat? Ein ehemaliger CTO als CEO der twitterte: «The cloud has failed us. Again. 16 billion passwords just leaked. It’s time to ditch the cloud.» Das klingt doch nach einer sehr guten Grundlage. Will ich haben. Wenn es denn gut ist. Aber war PearPass auf dem Weg gut zu sein?

Optisch ist PearPass als Bitwarden-User eigentlich langweilig, denn an sich ist es ein Klon von Bitwarden. Das Menü und die gängigen Funktionen welche wir von einem Passwort Tresor erwarten sind alle dabei. Der Menüpunkt «Recovery Keys» ist zusätzlich da, dieser bezieht sich auf die Recovery Phrases für Krypto Wallets. Klar muss PearPass diesen Menüpunkt anbieten, es kommt ja aus einem Krypto-Haus und es wäre irgendwie Gaga würde er fehlen.

Technisch innerhalb der App war das Fundament gut aber doch noch verbuggt. Die Auto-Insert Funktion hat bei mir weder auf dem Desktop noch auf dem Handy funktioniert. Daher wartete ich sehnlichst auf ein Update was leider nie kam, der letzte Release ist von Mai 2026. Dennoch waren es für mich alles nur kleinere Bugs die auf dem Weg zu Version 1.0 keinesfalls ein Showstopper sein sollten. Bezüglich der Desktop Version muss die Verbindung zum Browser hervorgehoben werden. Im Browser ist nur ein Connector drin, der sich mit der .exe Applikation verbinden MUSS. Denn PearPass nutzt eine spezielle Technik um sich mit einem Peer zu synchronisieren und dazu braucht es zwingend eine echte Applikation. Nur ein Browser-Plugin würde dazu nicht ausreichen.

Holepunch & DHT

Der eigentliche Clou der App ist das synchronisieren ohne Server durch jede Firewall hindurch – und ja, es klappt wirklich (mehr dazu weiter unten) wenngleich die Erkennung des DHT bzw. Holepunch-Verfahren meiner oberflächlichen Meinung schon möglich sein sollte. Ich bin beileibe kein Experte in diesen neuartigen P2P-Techniken, hatte mich aber damals schon im Mai eingelesen. Ich habe es so verstanden: Wo auch immer du deine PearPass App startest, sie meldet sich beim DHT, der «Distributed Hash Table». Oft wird erklärt, das sei eine Art Telefonbuch. Solange die App offen bleibt bist du dort drin hinterlegt. Wenn du nun eine PearPass App an einem zweiten Gerät öffnest, fragt sie im DHT nach ob da schon jemand online ist für dich um zu synchronisieren. Wenn ja, wird eine Verbindung zwischen diesen beiden Apps ausgebaut. Und jetzt wirds spannend.

Beide Apps versuchen zum gleichen Zeitpunkt sich gegenseitig zu erreichen, indem beide Seiten von innen (LAN) durch die Firewall (NAT) nach aussen auf die IP der «gegnerischen» Firewall UDP Pakete senden. Wenn ein STUN Server dazwischen ist bleibt es bei wenigen UDP Paketen. In einem Firmen-Netzwerk wo der Client UDP mit HighPorts ins Internet machen darf wird aber per Brute Force viele kleine UDP Pakete von PearPass ausgehend geschossen. Es wird also versucht zu erraten, welchen Port die Firewall für die Session nutzt. Sobald auf nur einer Seite der korrekte Port erraten wurde, kann eine Verbindung aufgebaut werden und der Sync zwischen den beiden Apps geht los.

Bleibt noch der Fall von Enterprise LANs, wo ein Client maximal Port 80 und 443 ins Internet öffnen darf. Wenn nur das möglich ist wechselt PearPass auf die letzte Alternative den TURN Server. Dorthin verbindet es sich mit tcp/443 und der TURN Server entscheidet, wie er die Firewall der Gegenstelle erreicht. Solange die Enterprise Firewall den TURN Server auf keiner Blacklist hat wird die Verbindung am Ende ebenso aufgebaut und ein Sync durchgeführt. Das ist aber streng genommen kein natives P2P mehr.

Wie oben erwähnt habe ich das aus Interesse an einer FortiGate 7.4 ohne SSL-Inspection mit einem gängigen ApplicationControl/WebFilter/IPS Profil ausprobiert, wobei in den Profilen explizit alles was P2P ist auch erkannt werden sollte. Hat es nicht. In meinem Testfall aber war UDP HighPort vom Client ins Internet erlaubt und somit wurde kein TURN Server angefragt. Was aber beim Wühlen durch die Logs auf jeden Fall stutzig machen wird ist die schiere Menge an UDP Paketen die PearPass ins Internet schiesst. Nicht Zwei Drei, nicht Hunderte, nein es waren Tausende. Die FortiGate bzw. der FortiAnalyzer hat dazu in seiner Standardausführung keinen Alert auf diese Anomalie, denn normalerweise ballert kein Windows-Client tausende superkleine UDP Pakete gegen eine IP ins Internet. Aber Machbar das zu erkennen bzw. als möglicher P2P Traffic zu markieren ist das meinem Verständnis nach auf jeden Fall. Ob SIEM Tools wie QRadar zur Holepunch-/Hyperswarm Technologie bereits Regeln mit Alarmen haben weiss ich nicht. Prinzipiell bin ich der Meinung, Holepunch/DHT (bzw. Hyperswarm) fliegt noch unter dem Radar.

Sorgenkind Akkuverbrauch

Jedenfalls klappte in meinem Fall der Sync von (Windows) Desktop zu (Android) Handy und umgekehrt sehr gut. Aber nur, wenn die App geöffnet ist oder im Hintergrund läuft. Und damit kommen wir zu einem Nachteil dieser Technologie: Der Akkuverbrauch!

Bevor ich den horriblen Akkuverbrauch von PearPass schlechtrede sei gesagt, PearPass hat die Funktion «Blind Peering» womit du deinem PearPass erlauben kannst sich auf einen Server zu synchronisieren den du nicht kennst, der aber immer online ist. Selbstverständlich sicher verschlüsselt. Damit würde PearPass immer den aktuellen Inhalt deines Passwort-Tresors vom Server «Blind Peer» abholen können. Aber das ist nicht die eigentliche Idee hinter PearPass: Synchronisieren ohne Server dazwischen. Und das geht nur wenn du der App erlaubst, dauerhaft im Hintergrund aktiv zu bleiben. Sobald du das erlaubst kannst du der Akkuanzeige zuschauen wie sie sinkt.

Das Akku-Problem ist meinem Verständnis nach nicht nur auf PearPass bezogen sonder auf alle Apps mit dieser Technologie, namentlich auch der vollständig dezentrale Keet Messenger. Auch Keet ist eine wirklich geniale Erfindung und eine optimale Ergänzung zu Threema & Co wenn man mal auf dezentrales Messaging ohne Server wechseln möchte, aber du musst dir mindestens eine Powerbank kaufen und mitschleppen wenn du es wirklich ernst meinst damit. Falls da ein Leser bessere Akkuverbrauch Erfahrungen gemacht hat bitte gerne in die Kommentare damit.

Nun um auf meine Eingangs gestellte Frage zurück zu kommen: Ob PearPass auf dem Weg war gut zu werden? Ich behaupte ja. PearPass war auf dem Weg richtig gut zu werden. Mich stimmt es fast schon melancholisch, wurde das Projekt PearPass auf der Zielgeraden pausiert. Gerade jetzt in Zeiten wo Bitwarden die Preise verdoppelt aber zeitgleich Open Source als Merkmal von ihrer Webseite entfernt wäre eine spannende wirkliche Alternative ohne Cloud und ohne Server zu begrüssen.

Was Bitwarden angeht, so war ich seit Januar 2022 zahlender Kunde aber ich habe mein Abo schon vor einigen Monaten auf Januar 2027 gekündigt. Ursprünglich hatte ich mein Yubikey verbunden und dazu brauche ich Premium, aber benutzt habe ich den Yubikey letztendlich fast nie. Da TOTP ohne Premium genauso funktioniert brauche ich eigentlich gar kein Abo. Und Bitwarden ist leider auf dem Besten Weg durch seinen Kommerz-Zwang für mich unattraktiv zu werden. Wer echtem Open Source ganz bewusst den Rücken kehrt bekommt nicht mehr freiwillig mein Geld.

Hätte ich eine Glaskugel würde ich sagen die Entwickler thether.io hinter PearPass bündeln ihre Energie in den AI Hype. Dort haben sie nämlich auch ein Produkt in der Mache: Das dezentrale AI Agent Framework QVAC. Und dessen Github Repository wird weiterhin sehr aktiv betreut.