Software-update: KeePassXC 2.5.4

KeePass Password Safe is een bekende opensourcewachtwoordmanager die oorspronkelijk voor het Windows-platform werd ontwikkeld, maar later met behulp van Mono ook op andere platformen zijn werk kan doen. KeePassXC wordt ontwikkeld in C++ met Qt voor het grafische deel waarmee het op Linux, macOS en Windows een passend uiterlijk biedt. Hiermee kunnen accounts worden opgeslagen, inclusief de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en url. Alle gegevens worden veilig in een met aes, twofish of ChaCha20 versleutelde database opgeslagen. Verder kan het programma automatisch wachtwoorden genereren en lijsten im- en exporteren. Voor meer informatie verwijzen we jullie door naar deze pagina. De changelog voor versie 2.5.4 ziet er als volgt uit:

KeePassXC 2.5.4 released

The update primarily resolves a compatibility issue with macOS 10.15.4 and 10.14.6. The most recent macOS security patches changed the way code signatures are checked resulting in a KeePassXC crash at startup. We published a quick workaround at the end of last month, for which we had to sacrifice TouchID support in order allow you guys to continue using KeePassXC. This update ships with a full resolution of the code signing issue and brings back TouchID.

A minor side effect of the new update is a changed bundle and App ID. This is not much of a problem, but previously granted accessibility permissions for Auto-Type may have to be granted again after installing this update. Permissions for the “old” version can be safely revoked.

To make this release all about code signing, we also retired SHA1 as our Windows Authenticode signature hash algorithm and moved on to SHA256. PGP signatures have always been SHA256 and remain unchanged.

On top of all that, we backported two small fixes from the development preview of our next major release, which are listed in the changelog below.

Fixed:

• Return keyboard focus after saving database edits [#4287]
• Windows: Use bare minimum settings in portable version [#4131]
• Windows: Use SHA256 code signing [#4129]
• macOS: Fix code signing incompatibility in latest macOS release [#4564]

Versienummer	2.5.4
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10
Website	KeePassXC
Download	https://keepassxc.org/download
Bestandsgrootte	42,39MB
Licentietype	GPL

Reacties (37)

KeePass Password Safe is een bekende opensourcewachtwoordmanager die oorspronkelijk voor het Windows-platform werd ontwikkeld, maar later met behulp van Mono ook op andere platformen zijn werk kan doen. KeePassXC wordt ontwikkeld in C++ met Qt voor het grafische deel waarmee het op Linux, macOS en Windows een passend uiterlijk biedt.

De eerste zin van deze beschrijving van KeePass is letterlijk overgenomen van Wikipedia en lijkt te impliceren dat KeePassXC is afgeleid van de KeePass. Ondanks de naam is KeePassXC niet gerelateerd aan de cross platform Mono versie van KeePass.

Versie 1.x van KeePass gebruikte C++ terwijl de recente 2.x versie van KeePass is herschreven met C#. KeePass (versie 1.x) was al geforked als KeePassX voordat KeePass ooit cross platform werd via C#/Mono. De code is dus compleet verschillend. Het lijkt me daarom beter om in de tekst uitleg te geven dat het een Community fork van KeePassX betreft.

[Reactie gewijzigd door Surkow op 10 april 2020 04:02]

Heeft iemand ervaring met de verschillen tussen KeePass en KeepassXC? Ik gebruik enkel KeePass op Windows en Keepass2Android op Android.

Alle versies, Keepass, KeepassX en KeepassXC zijn open source. KeepassX is een port van Keepass, welke ook beschikbaar kwam voor MacOS en Linux (later is Keepass zelf ook beschikbaar gemaakt voor andere platformen) KeepassXC is een community fork van KeepassX, omdat de ontwikkeling van laatstgenoemde achterbleef. De community is er toen mee verder gegaan als KeepassXC, crossplatform en bovendien zijn ze daar érg actief in updates. Ik ben ingestapt op KeepassXC, maar krijg regelmatig updates. Ik heb de database in een stukje cloudopslag staan (Stack van TransIP), via Android kan ik het metKeepass2android benaderen en via Windows natuurlijk via de stack applicatie.
Werkt wat mij betreft prima, alhoewel een online manager natuurlijk ook voordelen heeft.

Technisch kan ik de voor-nadelen vanuit mijn kennis niet toelichten.

Ik ben net overgestapt: keepassXC ziet er gelikter uit, het genereren van paswoorden is wel een klik omslachtiger.

Valt er een uitspraak te doen over wat "beter" is? Ik neem aan dat er meer verschillen zijn (wellicht onder de motorkap) dan alleen een gelikter uiterlijk?

Ze doen beide wat ze moeten doen, functionaliteit is ongeveer hetzelfde, geen idee wat er onder de motorkap gebeurt. Ik was begonnen met keepass2 en zit nu op xc omwille van de UI die niet uit de jaren '90 lijkt te stammen.

XC is beter op Linux, dus als je multi platform werkt of in de toekomst misschien ook Linux wilt gaan gebruiken naast Linux, dan is XC aan te raden.

Volgens mij gebeurt de meeste development ook in XC?

[Reactie gewijzigd door Redsandro op 10 april 2020 11:07]

Of KeePassXC echt beter is valt nog maar te zien. Volgens dit draadje op Reddit is de beveiliging van KeePassXC minder goed dan KeePass. Zo gaan Wayland en Auto-Type niet samen. Beetje jammer voor Linux gebruikers.

[Reactie gewijzigd door XWB op 10 april 2020 14:20]

Op Linux is keepassxc een betere keuze ook aangezien de interface native is ipv een half werkende ui fork.

Op alle platformen is samenwerken in gedeelde databanken stabieler met xc. Veranderingen worden vlot opgeslagen.

Tenzij je Wayland draait, want dan ondersteund KeepassXC in de nieuwe versies opeens geen AutoType (keyboard emulatie) meer om je wachtwoord in te voeren, terwijl dit in de oude versies gewoon werkt. Bij keepass werkt dit gelukkig ook gewoon nog.

Zie https://github.com/keepassxreboot/keepassxc/issues/3868

Waarom niet LastPass gebruiken is nog gratis ook.

LastPass slaat al je wachtwoorden op in hun online dienst toch? Dat is voor mij een reden het niet te doen. Keepass is ook gratis.

Er zijn allerlei voor- en nadelen op te noemen van beide diensten. Lastpass slaat de wachtwoorden versleuteld op in de cloud. Een nog grotere onveiligheid is de integratie in de browsers m.b.v. plugins. Tegelijk is dat ook weer een erg fijne manier van werken met Lastpass. Verder is er voor zover ik weet geen enkel pakket zo cross-platform als Lastpass: het werkt op Windows, Linux, Android, iOS en IpadOS. (Die laatste werkt echt superfijn en gebruik ik dagelijks: even met touchID autoriseren en gebruikersnaam/wachtwoord wordt ingevuld). Wanneer je op 1 platform een password manager gebruikt (en de wachtwoorden door die manager laat genereren), betekent dit automatisch dat je die wachtwoorden ook moet kunnen benaderen op andere platformen. Bijvoorbeeld wanneer je Lastpass in Windows gebruikt, maar je koopt later een android telefoon. Je gaat het immers nooit zelf allemaal onthouden. Ik vermoed dat Keepass daarin tekort gaat schieten in mijn gebruik van een password manager.

Vaak betekent meer gemak / functionaliteit ook verminderde security. Het is een persoonlijke afweging om daarin een balans te vinden. Ik gebruik voor de belangrijkste accounts (bank, Paypal etc.) mijn eigen geheugen... maar zelfs daarin schuilt een probleem: de wachtwoorden zijn minder sterk dan wanneer ze gegenereerd worden met een password manager. Plus: wanneer je voor drie of vier diensten zelf onthoudt en je wijzigt bijv. Ieder half jaar, dan wordt onthouden ineens een stuk lastiger (voor mij althans ).

Tot een paar maanden geleden gebruikte ik ook LastPass. En precies dat opslaan in de cloud was voor mij de reden om hier van af te stappen. Gelukkig kon ik de LastPass database exporteren en in KeepassXC importeren. Ik ben zelfs zo ver gegaan om dde online info te purgen en mijn account op te heffen. Nu maar hopen dat ze bij LastPass ook daadwerkelijk alles verwijderen.
Mijn gebruik van KeepassXC heb ik nog extra beveiligd door de database in een Veracrypt container te zetten. Deze container wordt gesynct naar mijn Nextcloud voor het geval mijn laptop gestolen wordt of de HD crasht.

Leuk al die aanbevelingen, maar mensen die in de "markt" zijn voor KeePass gaan echt niet overstappen op een "cloud" gebasseerde online password manager. De reden dat bijv. ik keepass gebruik is juist vanwege de veiligheid die een bitwarden, enpass of lastpass nooit gaat evenaren.

Neem als voorbeeld Argon2 ondersteuning, dat is bij geen enkele cloudbased passwordmanager gemeengoed, en dit had al 5jaar beschikbaar moeten zijn (ok, credits due, Dashlane is de enige die professioneel lijkt en dit ook standaard bied).

Dus als ik zou zoeken naar een oplossing kom ik met mijn eisen (ChaCha20 met als KDF Argon2) alleen uit bij KeePass.

Bitwarden kan je self hosten en Enpass is helemaal geen online/cloud oplossing. Ziet er ook gelikter uit. Een ideaal alternatief?

Enpass en Bitwarden doen beide alleen AES256 en PBKDF2, dus nee.

Van de KeepassXC homepage:
The complete database is always encrypted with the industry-standard AES (alias Rijndael) encryption algorithm using a 256 bit key.

Dat is dan toch hetzelfde? Ik ben echt niet helemaal tevreden over Enpass maar heb KeepassXC nooit helemaal begrepen. Op Android is het gewoon een schimmige bende. Want welke app moet je hebben?
Je vind meerdere Keepass apps en geen enkele lijkt enigszins modern.
En bedoel je Keepass of KeepassXC?

Ik zou de database wel willen syncen via webdav (NextCloud) of SyncThing met mijn Ubuntu Server zodat ik altijd een backup heb, liefst 1 die ik dan ook op de Ubuntu server kan bekijken in KeepassXC. Zonder een clouddienst. Is dat mogelijk?

En meerdere/aparte databases zodat mijn partner dit ook kan met dezelfde pc?

Want de allerveiligste encryptie is voor regulier consumentengebruik echt niet het allerbelangrijkste.. Het moer vooral goed bruikbaar zijn.

[Reactie gewijzigd door Jazco2nd op 10 april 2020 09:59]

Op de desktop gebruik ik 'gewoon' KeePass (dus niet KeePassXC) en ja, dat ziet er op windows wat 'dated' uit, maar meer dan een 'excel' lijst met search functie heb je eigenlijk niet nodig.
En ik heb de KeePass database file op OneDrive staan.
Voor Android gebruik ik KeePassDX en open dan (met de fingerprint) vanaf OneDrive de database. Maw. het is eigenlijk ook gewoon een Cloud oplossing, werkt allemaal hetzelfde zo.

Voor MacOS gebruik(te) ik altijd MacPass die is 'mooi' helemaal in OSX stijl geimplementeerd.

En bovenaan deze pagina staat in de tekst dat je oa. ChaCha20 kan gebruiken ipv AES256 met KeePass(XC), dus ik snap ook niet zo goed waarom KeePassXC er zelf voor gekozen heeft het zo op de website te zetten alsof AES de enige keus is.

[Reactie gewijzigd door CT op 10 april 2020 10:05]

Waarom vertrouw je je KeePass database file wel aan OneDrive toe en niet aan een Lastpass? (vraag uit interesse)

Er zijn dreigingen te bedenken waarbij je wachtwoorden op straat komen te liggen als een cloud provider wordt gehacked.

Denk bijvoorbeeld aan hackers die broncode aanpassen, (oud) medewerkers met slechte bedoelingen, etc.

Wat heeft een hacker in handen als hij het OneDrive account van CT weet te kraken? Een kluis die hij niet kan kraken.

Hoe log je in bij de cloudprovider (zoals lastpass)? Ja, met je wachtwoord (en wellicht 2FA) die ook direct je 'kluis' ontgrendeld..
Hoe log je in bij mijn Onedrive? Ja, met 2FA, en dan kan je oa. mijn versleutelde kluis bereiken, deze kluis is dan op zijn beurt nog niet ontgrendeld en gebruikt weer een andere sleutel.

Dus een 'hacker' hoeft veel minder moeite te doen om een cloudprovider te 'hacken'. Een scenario zoals in het geval van lastpass zou kunnen zijn als 'man in the middle' de authenticatie server te spelen van lastpass, en zo heb je niet al direct het wachtwoord van de account op lastpass binnen, maar ook hetzelfde wachtwoord dat de kluis ontgrendeld..

Neem dan ook nog mee dat 90% van de "cloud" password managers PBKDF2 gebruiken, dan zou ik wel weten als hacker waar ik mijn energie in zou steken

Ok, ik heb nog een quote toegevoegd aan mijn reactie.
ik gebruik Android, Ubuntu en voor werk MacOS. Geen Windows. Dan is het wel interessant om eens te testen en vergelijken tov Enpass.

Ik blijf me verbazen over de updates van KeePassXC. Ik werk er dagelijks zonder problemen en met veel plezier mee op m'n Macbook en ook op m'n ubuntu werkplekken. Ik werk daar op 2.4.3 en dat werkt feilloos, elke poging om te updaten naar een nieuwere versie levert gedonder op bij Macos. Autotype wat niet of niet goed werkt (en dat is mijn grootste voorwaarde, naast platform ondersteuning). Ook vandaag weer eens een update poging naar de nieuwste versie (in de hoop dat deze out of the box zou werken). Helaas werken met de laatste update nu de Macos machtigingen niet goed en na het opnieuw instellen van de machtigingen en het opnieuw opstarten van KeePassXC zijn de machtigingen weer weg. Heel frustrerend. Ik ben weer terug op 2.4.3 en dit werkte direct weer. Op Ubuntu heb ik deze ervaringen niet, iemand met soortgelijke ervaringen ?

Ik had ook problemen met die versie. Daarvoor was er binnen enkele dagen een update.
Ik ben nu op 2.5.4 voor de mac. Werkt prima!

Hoe verhoudt KeePassXC zich tot KeePass zonder XC? Is het beter, somehow?

Nee, het is op een andere wijze gebouwd.
Achter de link in het artikel staat exact wat het verschil is - eentje is gebouwd in C#, de ander in C++. Beiden hebben dus weer voor- en nadelen en ook die worden uitgelegd in die link https://keepassxc.org/docs/#faq-keepassx
Wil je echt slakken op zout leggen dan kom je uit op dat KeePass het origineel is en KeePassXC gebruik maakt hetzelfde databaseformat.

Ik gebruik Enpass (via webdav => eigen Nextcloud) maar wat ik hinderlijk vind is dat nieuwe entries vanuit browser niet worden opgenomen en ik die dus met de hand moet toevoegen.

Pakt KeePass(XC) wel automatisch nieuwe aanmeldingen op?

Bitwarden is zeker ook het bekijken waard!

Let wel, er is slechts één developer die actief werkt aan Bitwarden aan zowel de server, client als desktop apps. De 'under the bus factor' is hiermee erg hoog als je het mij vraagt: https://github.com/bitwarden/server/graphs/contributors
Als 'kspearrin' ermee ophoudt zet ik vraagtekens of dit project nog wel gedragen gaat worden door de community. Daarnaast vraag ik me af of er wel kritisch gekeken wordt door anderen naar de code van BitWarden.
Bij KeePassXC is die verdeling veel beter: https://github.com/keepas...assxc/graphs/contributors

Oh dat is interessant om te weten. Ben zelf al een poosje fan van Bitwarden, mede omdat Lastpass erg kut met Firefox omging, maar deze ene persoon is best een beperking als het aankomt op continuiteit en de code. (Host het zelf, maar toch wel belangrijk)

Goed punt! Wat helaas vaak niet mee genomen wordt in reviews dan wel beoordelingen.

"under the bus" factor, leuk gevonden!

[Reactie gewijzigd door Operations op 10 april 2020 12:50]

Herken dit niet. Hier krijg ik standaard een pop-up met de vraag of hij de nieuwe login moet opslaan. Misschien de extensie opnieuw installeren?

Ik heb er zelfs al een paar keer een complete schone installatie (windows) voor gedaan. Ik heb het nu je het zegt helemaal in het begin wel eens voorbij zien komen maar die popup verdween vrij snel en daarna nooit meer gezien helaas. Heel af en toe zie ik hem nog maar dan wil hij een formulier o.i.d. opslaan ipv een nieuwe login.

En andere browser maakt ook geen verschil. Chrome/Brave/Firefox/Edge tonen allemaal de popup van nieuwe logins niet.

Bitwarden self hosted, is LastPass maar onpremise. Top

Yup