Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Software-update: KeePass Password Safe 2.35

Door , 33 reacties, bron: KeePass Password Safe

KeePass Password Safe logo (75 pix) Dominik Reichl heeft versie 2.35 van KeePass Password Safe uitgebracht. Met deze opensource-wachtwoordmanager kunnen accounts worden opgeslagen, inclusief de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en url. Alle gegevens worden veilig in een met het Rijndael-algoritme versleutelde database opgeslagen. Verder kan het programma automatisch wachtwoorden genereren en lijsten im- en exporteren. Door het toevoegen van dit taalbestand kan het programma ook in het Nederlands worden gebruikt.

Van KeePass Password Safe bestaan twee verschillende uitvoeringen die beide actief worden ontwikkeld. Versie 1.x is niet afhankelijk van andere software en werkt alleen onder Windows. Versie 2 maakt intern gebruik van xml en heeft verder minimaal versie 2.0 van het .Net Framework nodig of, als het programma onder Linux, macOS of FreeBSD wordt gebruikt, van Mono versie 2.6 of hoger. Een volledig overzicht van de verschillen tussen versie 1 en 2 is op deze pagina te vinden. Hieronder staat de changelog van deze uitgave.

New Features:
  • New KDBX 4 file format, which supports various new features (listed below; e.g. Argon2).
  • Added Argon2 key derivation function (it can be activated in the database settings dialog).
  • Improved header and data authentication in KDBX 4 files (using HMAC-SHA-256, Encrypt-then-MAC scheme).
  • Added ChaCha20 (RFC 7539) encryption algorithm (it can be activated as KDBX file encryption algorithm in the database settings dialog; furthermore, it supersedes Salsa20 as default for generating the inner random stream of KDBX 4 files).
  • Added support for opening entry URLs with Firefox or Opera in private mode via the context menu -> 'URL(s)' -> 'Open with ... (Private)'.
  • Added URL override suggestions for Firefox and Opera in private mode in the URL override suggestions drop-down list in the entry dialog.
  • Added optional built-in global URL overrides for opening HTTP/HTTPS URLs with Firefox or Opera in private mode.
  • Added {PICKFIELD} placeholder, which shows a dialog to pick a field whose value will be inserted.
  • Added option 'Hide "Close Database" toolbar button when at most one database is opened' (turned on by default).
  • Added option 'Show additional auto-type menu commands', which can be turned on to show menu commands for performing entry auto-type with some specific sequences.
  • Added menu command 'Selected Entry's Group' (with keyboard shortcut Ctrl+G) in 'Edit' -> 'Show Entries' (and a context menu equivalent 'Show Parent Group' in 'Selected Entries'), which opens the parent group of the currently selected entry and selects the entry again.
  • Added menu commands in 'Edit' -> 'Show Entries' to show entries that expire in a specific number of days (1, 2, 3) or weeks (1, 2, 4, 8) or in the future.
  • Added configuration option that specifies the number of days within which entries are considered to expire 'soon' (the default is 7).
  • Added option for changing the alternate item background color.
  • When the option 'Remember key sources' is enabled, KeePass now also remembers whether a master password has been used.
  • Added option 'Force changing the master key the next time (once)' (in 'File' -> 'Database Settings' -> tab 'Advanced').
  • Added parameters 'Window style' and 'Verb' for the 'Execute command line / URL' trigger action.
  • Added support for importing mSecure 3.5.5 CSV files.
  • Added support for importing Password Saver 4.1.2 XML files.
  • Added support for importing Enpass 5.3.0.1 TXT files.
  • Enhanced SplashID CSV import (added support for the old version 3.4, added mappings for types of the latest version, groups are now created only for categories, and types are imported as tags).
  • LastPass import: added support for CSV files exported by the LastPass Chrome extension, which encodes some special characters as XML entities.
  • Added 'KeePass KDBX (2.34, Old Format)' export module.
  • Export using XSL transformation: added support for the 'xsl:output' element in XSL files.
  • If the global auto-type hot key is Ctrl+Alt+A and the current input locale is Polish, KeePass now shows a warning dialog (telling the user that Ctrl+Alt+A is in conflict with a system key combination producing a character).
  • Added Alt+X Unicode character conversion support in rich text boxes on Unix-like systems.
  • For development snapshots, the 'About' dialog now shows the snapshot version (in the form 'YYMMDD').
  • Plugins can provide other key derivation functions now.
  • The header of KDBX 4 files is extensible by plugins.
  • Enhanced support for developing encryption algorithm plugins.
  • Plugins can now store custom data in groups and entries.
  • Plugin data stored in the database, a group or an entry can now be inspected (and deleted) in the database maintenance dialog, the group dialog and the entry dialog, respectively.
  • For plugins: file closing events now contain information about whether KeePass is exiting, locking or performing a trigger action.
  • Added workaround for .NET handle cast overflow bug in InputLanguage.Culture.
  • Added workaround for Mono ignoring the Ctrl+I shortcut.
  • Added workaround for Mono clipboard bug.
  • Added workaround for Mono not focusing the default control in the entry editing dialog.
  • Added workaround for a Mono timer bug that caused high CPU load while showing a file save confirmation dialog.
  • Added Mono workaround: when running on Mac OS X, KeePass now does not try to instantiate a tray icon anymore.
  • Added workaround for XDoTool sending diacritic characters in incorrect case.
  • TrlUtil now recommends to clear the 'Unused Text' tab.
Improvements:
  • Improved behavior when searching entries with exclusions (terms prefixed with '-').
  • Improved support for auto-typing into target windows using different keyboard layouts.
  • Auto-Type: improved support for keyboard layouts with keys where Shift,Caps Lock and no modifier result in 3 different characters.
  • Auto-Type: improved support for spacing modifier letters (U+02B0 to U+02FF).
  • Global auto-type now works with target windows having empty titles.
  • When copying entries to the clipboard, the data package now includes custom icons used by the entries.
  • Unified behavior when drag&dropping a field containing a placeholder.
  • Improved entry edit confirmation dialog.
  • If the screen height is insufficient to display a dialog, the dialog's banner (if the dialog has one) is now removed to save some space.
  • Some tooltips are now displayed for a longer time.
  • A new entry created using a template now does not include the history of the template anymore.
  • For empty RTF attachments, the internal data editor now by default uses the font that is specified for TXT files.
  • Internal data editor: added support for changing the format of mixed-format selections.
  • Internal data viewer and editor: null characters ('\0', not '0') in texts are now automatically replaced by spaces (like Notepad on Windows 10).
  • Improved encoding signature handling for conversions during text attachment imports (via the 'Text Encoding' dialog).
  • File transactions are not used anymore for files that have a reparse point (e.g. symbolic links).
  • Improved XSL stylesheets for KDBX XML files.
  • The internal window manager is now thread-safe.
  • Improved date/time handling.
  • Improved button image disposal.
  • When synchronizing two databases, custom data (by plugins) is now merged.
  • When opening a database file, corrupted icon indices are now automatically replaced by default values.
  • Added some more entropy sources for the seed of the cryptographically secure pseudo-random number generator (environment variables, command line, full operating system version, current culture).
  • ChaCha20 is now used during password generation (instead of Salsa20).
  • ChaCha20 is now used as fallback process memory encryption algorithm (instead of Salsa20).
  • When the encryption algorithm for a database file is unknown, the error message now shows the UUID of the algorithm.
  • In KDBX 4, header field lengths are now 4 bytes wide.
  • In KDBX 4, entry attachments are now stored in an inner, binary header (encrypted, possibly compressed), before the XML part; this reduces the database file size and improves the loading/saving performance.
  • In KDBX 4, the inner random stream cipher ID and key (to support process memory protection) are now stored in the inner header instead of in the outer header.
  • KPScript: the 'ChangeMasterKey' command now also updates the master key change date.
  • TrlUtil: improved validation warning dialogs.
  • The MSI file now requires any .NET Framework version, not a specific one.
  • The MSI file is now built using Visual Studio 2015.
  • Various code optimizations.
  • Minor other improvements.
Bugfixes:
  • When executing a {HMACOTP} placeholder, the last modification time of the corresponding entry is now updated.
  • Key files containing exactly 64 alphanumeric characters are now loaded as intended.

Versienummer 2.35
Releasestatus Final
Besturingssystemen Windows 7, Linux, BSD, Windows XP, macOS, Windows Server 2003, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10
Website KeePass Password Safe
Download http://keepass.info/download.html
Bestandsgrootte 2,96MB
Licentietype GPL

Reacties (33)

Wijzig sortering
Als iemand denkt: zoiets wil ik! Dan zou ik eerst kijken naar LastPass. Ik ben in de kerstvakantie volledig over gegaan en het is zo veel gemakkelijker te gebruiken.
Als aanvulling op bovenstaande reacties wil ik noemen dat KeePass ook een audit heeft ondergaan van de Europese Commissie.
nieuws: EC laat na enquête audit uitvoeren van KeePass en Apache
Als Tweaker vind ik KeePass toch wat geschikter. Open-source, keuze voor het offline houden van je wachtwoord file (hoewel ik 'm sync via Google Drive) en veel meer aanpasbaar naar je wens. Verder zijn er heel veel plug-ins en enkele, eveneens open-source, smartphone apps om uit te kiezen.

LastPass is wel handig inderdaad. Maar met KeePass kan ik niet zeggen dat ik iets mis. Ik typ mijn master password in, en drag & drop mijn wachtwoorden naar het formulier. As easy as that. Een nieuw wachtwoord toevoegen is gewoon 'Add Entry', typ de naam en klaar.

Het voordeel van KeePass is dat het allemaal simpel is. Het enige wat mis kan gaan is dat ik het master password vergeet of deze per ongeluk openbaar maak.

LastPass is niet open-source, is eigendom van een bedrijf met belangen (LogMeIn), is een browser extension en het verzorgt de sync zelf. In principe is dat helemaal geen probleem en ook een deel placebo.
Maar met deze dingen moet je ook paranoia zijn en van het slechtste uit gaan i.m.o.
Met KeePass kun je ook je wachtwoorden in laten typen door KeePass zelf. Het doet dit door de keyboard commando's <naam><TAB><ww><TAB> naar het inlogvenster te sturen: Selecteer je inlogwindow, selecteer dan KeePass, ga daar dan naar je wachtwoord entry, en druk CTRL-V (Perform Auto-type).

Het werkt niet overal (bijv Google heeft een apart scherm voor naam en wachtwoord), maar op de meeste plaatsen wel. Daarnaast is de auto-type 'key sequence' aan te passen, mocht deze methode niet direct werken. En mocht je bang zijn dat je wachtwoord met een keylogger wordt uitgelezen, er zijn opties in KeePass om het wat moeilijker te maken om via een keylogger het wachtwoord uit te lezen.
Het werkt niet overal (bijv Google heeft een apart scherm voor naam en wachtwoord), maar op de meeste plaatsen wel.
Voor Google, kun je dit gebruiken in Keepass in de Autotype Sequence.

{CLEARFIELD}{USERNAME}{ENTER}{DELAY 3000}{BEEP 800 200}{PASSWORD}{ENTER}
Gewoon Keepasshttp en chromeIpass installeren(plug-in) en in Chrome , als je keepass open hebt, wordt dan ook automatisch alles ingevuld.

Waarom moeilijk doen als het gemakkelijker kan. ;)
Kan dingen automatisch naar de clipboard kopieren geen beveilingsrisico zijn?
Enpass is closed source, maar slaat niks op op hun eigen servers. Hetzelfde als KeePass, je houdt het bestand lokaal of je synct het met je eigen cloud provider.
Met dat verschil dat LastPass (wat ik zelf overigens gebruik) je gegevens in the cloud opslaat. Welliswaar allemaal versleuteld, toch is dat een risico dat je moet afwegen tegen het gebruiksgemak. Bij KeePass heb je zelf de controle over de opslag en dus potentieel veiliger.
Ik gebruik zelf op dit moment ook Lastpass, maar ben zwaar aan het overwegen of ik wel/niet overstap naar Dashlane.

Als je een cloud based pw manager wilt gebruiken, dan wil je ook idealiter U2F als beveiligingsoptie. Dashlane biedt wel U2F ondersteuning, en Lastpass niet.
Lastpass: https://lastpass.com/support.php?cmd=showfaq&id=8126
Dashlane: https://www.dashlane.com/fido-u2f

De laxheid van Lastpass verbaast mij nogal, gezien U2F een perfecte oplossing is om https://www.seancassidy.me/lostpass.html tegen te gaan (naast dat U2F simpelweg technisch de meest veilige en meest-makkelijk-in-gebruik 2FA methode is).
Voor privé gebruik ik ook Dashlane. Echt een aanrader! Voor zakelijk gebruik ik echter keepas ivm Remote Desktop manager want deze heeft een keepas plugin. Andere password managers hebben hier (nog) geen plugin voor.
Dat is nieuw voor me (KeePass + RDM). Klinkt interessant, al heb ik geen idee wat het inhoudt. Wat is het doel van dit concept?
Nou alle connecties regelen via 1 Tool. Dus bijvoorbeeld ILO, RDP, VNC, Telnet alles via 1 tool ipv 100 verschillende applicaties openen en dan je taken uitvoeren maar dat 1 tool alles voor je rekening neemt.

let wel de apps moeten wel geinstalleerd staan alvorens de connectie opgebouwd kan worden.

Dan komt de plugin van Keepas om de hoek kijken om het invoeren van de wachtwoorden van je over te nemen ipv dat je alles telkens moet invoeren.
De organisatie achter Remote Desktop Manager heeft zelf ook een Password manager met gigantisch veel zakelijke opties. (rechten gekoppeld aan AD, change logs per user etc). Enige nadeel, het is betaalde software...
Zelf gebruik ik keepass omdat het gratis en open source is. Daarnaast is er een Audit op komst voor keepass.
Wel degelijk biedt LP U2F ondersteuning: https://lastpass.com/multifactor-authentication/?lang=nl Stuk of 6 opties zelfs
Ik denk dat je niet snapt wat U2F is. U2F is één vorm van 2FA. De "stuk of 6 opties" waar jij naar verwijst, zijn geen van alle op U2F gebaseerde 2FA.
Ik ben het eigenlijk - hoewel ik LastPass een ondienst vind vanwege het opslaan in de cloud en andere insecure architctuurkeuzes - eens met LastPass dat U2F-ondersteuning nog niet handig is op het moment. Enkel Google Chrome ondersteunt U2F en op dit moment vinden er standaardisatiepogingen plaats bij W3C (waarnaar het overgedragen is), hieruit volgen waarschijnlijk nog enkele wijzigingen. Pas als het een breedgedragen standaard is gaan de grote browsers en diensten implementeren. Nu is het nog slechts een standaard-in-wording die er veelbelovend uitziet.

https://www.w3.org/Submission/2015/02/
https://w3c.github.io/webauthn/

[Reactie gewijzigd door Chocola op 10 januari 2017 16:16]

Pas als het een breedgedragen standaard is gaan de grote browsers en diensten implementeren.
En hoe wordt een standaard breedgedragen als bouwers de standaard niet integreren in hun producten/diensten? :) Dit is altijd dezelfde kip-ei discussie bij elke standaard-in-wording.

Dat gezegd: het is maar wat je definitie van breedgedragen is. Chrome/Chromium is de meest active gebruikte browser op de markt (althans in de Amerika's en Europa). Daarnaast is er ook U2F ondersteuning in Opera, als in Firefox d.m.v. een addon, al schijnt dat die addon maar zo zo werkt (er is van horen zeggen ook een nightly build met U2F ondersteuning, maar ben niet op de hoogte van de huidige status van die ontwikkeling).
Althans de definitie van breedgedragen ontbreekt bij Lastpass. Ze stellen enkel "U2F ondersteuning in alle grote browsers". Dat zegt natuurlijk niets, want wie en wat zijn "grote browsers"? Er is geen duidelijke drempel voor adoptie dat Lastpass voor zichzelf stelt. Uit de huidige woorden kan je net zo goed opmaken dat er wordt gezegd "we zien wel wanneer we er zin in hebben". En die luxe heb je niet als een dienst zoals Lastpass.

Het is inmiddels toch echt aan web service providers om U2F ondersteuning in te bouwen. Dashlane snapt dat, dus stap ik (waarschijnlijk) naar Dashlane over. Is overigens ook de reden waarom ik vooralsnog bij Gmail blijf, en niet naar Protonmail overstap. Of bij Chrome blijf, en niet naar Firefox of Edge migreer.
Oi,

Breedgedragen is bij dit soort trajecten wanneer voldoende partijen zich committeren aan een standaard. In dit geval dus partijen als Mozilla, Google, Microsoft, Apple e.d. De rest volgt vanzelf of loopt al voor. Als wij een nieuwe dienst lanceren of een nieuwe technologie implementeren dan doen we dit ook zo dat de grote browsers gewoon werken. Hierbij kun je denken aan Firefox, Chrome/Chromium, Safari en Edge.

De hele reden waarom ze dit traject ingegaan zijn is om het van een Google-feestje een feestje voor iedereen te maken, zulke trajecten kosten nou eenmaal tijd helaas. Dit heb je met veel webstandaarden, de ene keer loopt Firefox voor, de andere keer Chrome. IE liep traditioneel ook voor, maar dan meer op het gebied van bugs, security issues en een slechte gebruikerservaring.

Die Firefox add-on is brak en zou je juist niet moeten gebruiken met iets als U2F, dat is defeating the purpose van 2FA. Gewoon wachten tot een stable release die een security-audit achter de rug heeft.

Verder natuurlijk aan jou om te besluiten bij welke leverancier je jouw gegevens toevertrouwd. Als U2F daar een doorslaggevende functionaliteit voor is, dan is dat helemaal aan jou en daar is niets mis mee. Als je trouwens graag wil voorlopen, kijk dan eens naar Google Canary: https://www.google.nl/chrome/browser/canary.html. Deze versie van Google Chrome bevat de nieuwste features die langzaam hun weg in Google Chrome zullen vinden.
Breedgedragen is bij dit soort trajecten wanneer voldoende partijen zich committeren aan een standaard. In dit geval dus partijen als Mozilla, Google, Microsoft, Apple e.d. De rest volgt vanzelf of loopt al voor.
Oké, dat is wat anders dan wat je eerder stelde. Eerder stelde dat een andere entiteit de browser bouwers en diensten moet aansporen om draagvlak te creëren; nu stel je dat browser bouwers daarvoor moeten zorgen. Vandaar de verwarring. Want dat laatste klopt natuurlijk. Probleem is echter dat er nog relatief weinig diensten zijn, waardoor browser bouwers (op Google en Opera Software na) niet enorm veel haast hebben.
Als wij een nieuwe dienst lanceren of een nieuwe technologie implementeren dan doen we dit ook zo dat de grote browsers gewoon werken. Hierbij kun je denken aan Firefox, Chrome/Chromium, Safari en Edge.
Nogmaals, het is maar wat je definitie van groot is. Chrome/Chromium is ongeveer de helft van de desktop gebruikers als je serveert in het westen. Op individueel niveau hebben Firefox, Safari en Edge maar marginaal markt aandeel vergeleken met Chrome. Ga je als security provider de helft van je klanten onthouden van het aanbieden van de beste security, uitsluitend omdat je moet wachten op de andere helft? Ander ondernemers mogen doen wat ze willen, maar ik vind dat dom. Kan je beter als security provider (Lastpass) te raden gaan wat je in deze industrie nog te zoeken hebt.
De hele reden waarom ze dit traject ingegaan zijn is om het van een Google-feestje een feestje voor iedereen te maken, zulke trajecten kosten nou eenmaal tijd helaas. Dit heb je met veel webstandaarden, de ene keer loopt Firefox voor, de andere keer Chrome. IE liep traditioneel ook voor, maar dan meer op het gebied van bugs, security issues en een slechte gebruikerservaring.
Deze kwestie is eerder een prioriteiten kwestie, dan een kwestie van tijd. Als een grote browser zoals Chrome U2F ondersteuning heeft, en een super kleine browser zoals Opera, dan kan je concluderen dat alle browsers die daartussen zitten zonder U2F ondersteuning die devs simpelweg geen tijdprobleem hebben, maar een prioriteiten probleem.
Die Firefox add-on is brak en zou je juist niet moeten gebruiken met iets als U2F, dat is defeating the purpose van 2FA. Gewoon wachten tot een stable release die een security-audit achter de rug heeft.
Klopt, daarom gebruik ik Firefox vooralsnog niet.
Verder natuurlijk aan jou om te besluiten bij welke leverancier je jouw gegevens toevertrouwd. Als U2F daar een doorslaggevende functionaliteit voor is, dan is dat helemaal aan jou en daar is niets mis mee. Als je trouwens graag wil voorlopen, kijk dan eens naar Google Canary: https://www.google.nl/chrome/browser/canary.html. Deze versie van Google Chrome bevat de nieuwste features die langzaam hun weg in Google Chrome zullen vinden.
De enige reden waarom ik voor wil lopen omtrent U2F, is omdat het objectief gezien de beste authenticatie bied die ik als particulier kan krijgen. Niet meer, niet minder. Ik bedoel, wil je de beste authenticatie als particulier voor zeer gevoelige informatie of niet? Zo ja, dan je wil je challenge-response. WIl je challenge-response, dan wil je U2F. Dat is voor mij een efficiënte beredenering dat uitmaakt welke producten/diensten ik wel/niet besluit te gebruiken.
New KDBX 4 file format, which supports various new features (listed below; e.g. Argon2).

Weet iemand hoe snel dit zal geïmplementeerd worden in mobiele apps (eg. KeePass2Android) wil mijn huidige database converteren naar dit nieuw formaat.
de beta van keepass2android heeft het al. Ze zijn er dus mee bezig.
Lijkt me niks om wachtwoorden hierin op te slaan. Als je dus een crash hebt ben je alle wachtwoorden ook kwijt.
Het programma gebruik je alleen op de password database te openen. Waar je de database opslaat is aan u.

edit:
Als je je wachtwoorden kwijt ben door een crash (als dit mogelijk is) is dat nog niet zo erg dan je wachtwoorden openbaar zijn geraakt. Het is wel vervelend, maar niet het einde van de wereld imho.

[Reactie gewijzigd door dennis_-_b op 9 januari 2017 18:09]

Gewoon een copy van je bestand ergens anders opzetten en bewaren. usb-stick of externe hdd. ;)
Als je daar bang voor bent kan je ook een uitdraai maken van je wachtwoorden vanuit het programma. Kan je ze daarna een een brandbestendige dossierkoffer doen, welke je in een kluis zet tegen inbraak.
Lijkt me niks om wachtwoorden hierin op te slaan. Als je dus een crash hebt ben je alle wachtwoorden ook kwijt.
Als je een crash had, zet je de backup terug. Een backup, dus ook van de database.
Verder kun je van die database overal duplicaten bewaren.
Ben zelf erg tevreden over Enpass. Gratis, alleen de mobile apps vereisen een eenmalige aankoop.

De UI van KeePass is redelijk verouderd en ik vind het niet heel fijn meer werken.
Ben ook erg tevreden over Enpass. Jammer dat de mobiele app zo duur is (¤10), maar ik vind het het geld waard.
Ik zie nu trouwens dat inmiddels de mobile apps van LastPass gratis zijn.

Zowel Enpass als LastPass zijn zo goed als gratis alternatieven voor KeePass, met een veel betere werking.

Grote voordeel van KeePass is natuurlijk dat het open source is..
De Enpass apps zijn gratis te downloaden als "trial" waarbij er maar 20 items worden weergegeven. Middels een in-app aankoop kan je de volledige versie ontgrendelen. Zie Enpass.io > Pricing voor meer info.

Heb Enpass wel geprobeerd maar maak er zelf geen gebruik meer van. KeePass voldoet nog steeds en de 3rd party apps voldoen ook nog goed. De GUI is niet de modernste maar, in mijn optiek, werkt deze prima.

Op dit item kan niet meer gereageerd worden.


Nintendo Switch Google Pixel XL 2 LG W7 Samsung Galaxy S8 Google Pixel 2 Sony Bravia A1 OLED Microsoft Xbox One X Apple iPhone 8

© 1998 - 2017 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Hardware.Info de Persgroep Online Services B.V. Hosting door True

*