Software-update: KeePassXC 2.6.6

KeePass Password Safe is een bekende opensourcewachtwoordmanager die oorspronkelijk voor het Windows-platform werd ontwikkeld, maar later met behulp van Mono ook op andere platformen zijn werk kan doen. KeePassXC wordt ontwikkeld in C++ met Qt voor het grafische deel waarmee het op Linux, macOS en Windows een passend uiterlijk biedt. Hiermee kunnen accounts worden opgeslagen, inclusief de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en url. Alle gegevens worden veilig in een met aes, twofish of ChaCha20 versleutelde database opgeslagen. Verder kan het programma automatisch wachtwoorden genereren en lijsten im- en exporteren. Meer informatie is te vinden op deze pagina. De changelog sinds versie 2.6.4 ziet er als volgt uit:

2.6.6 Changelog

Fixed

• Fix focusing search when pressing hotkey #6603
• Trim whitespace from TOTP key input prior to processing #6604
• Fix building on macOS #6598
• Resolve compiler warnings for unused return values #6607

2.6.5 Changelog

Added

• Show search bar when toolbar is hidden or in overflow #6279
• Show countdown for clipboard clearing in status bar #6333
• Command line option to lock all open databases #6511
• Allow CSV import of bare TOTP secrets #6211
• Retain file creation time when saving database #6576
• Set permissions of saved attachments to be private to the current user #6363
• OPVault: Use Text instead of Name for attribute names #6334

Changed

• Reports: Allow resizing of reports columns #6435
• Reports: Toggle showing expired entries #6534
• Save Always on Top setting #6236
• Password generator can exclude additional lookalike characters (6/G, 8/B) #6196

Fixed

• Allow setting MSI properties in unattended install #6196
• Update MainWindow minimum size to enable smaller verticle space #6196
• Use application font size when setting default or monospace fonts #6332
• Fix notes not clearing in entry preview panel in some cases #6481
• macOS: Correct window activation when restoring from tray #6575
• macOS: Better handling of minimize after unlock when using browser integration #6338
• Linux: Start after the system tray is available on LXQt #6216
• Linux: Allow selection of modal dialogs on X11 in Auto-Type #6204
• KeeShare: prevent crash when file extension is missing #6174

Versienummer	2.6.6
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10
Website	KeePassXC
Download	https://keepassxc.org/download
Bestandsgrootte	43,31MB
Licentietype	GPL

Reacties (49)

[bytemaster460]

Hoe veilig is zo’n passwordmanager nu echt? Je gebruikt overal andere wachtwoorden en dat beveilig je dan met één masterpassword. Als de encryptie gekraakt wordt en er komt malware die keepass bestanden opspoort en doorstuurt ligt er in één keer heel veel op straat.
Ben nog steeds huiverig om dit te gebruiken of maak ik me druk om niets?

[Steef]

Het idee is dan ook dat je master password een relatief lange wachtwoord zin is, zodat het onpraktisch veel tijd zou kosten om het wachtwoord te brute-forcen. Daarbij helpt het een steuntje te gebruiken.

Iets als "_wijwoondenvroegeropdekatstraat23inAmsteram!" Is makkelijk te onthouden en vrijwel niet te brute-forcen.

Verder moet je wel een manager gebruiken die bekend veilig is, zodat de database niet via een bug of exploit te kraken is. Zo zijn er van keepass wat publieke code reviews (door bijvoorbeeld EU instanties) geweest die dat ondersteunen.

https://keepass.info/help/kb/trust.html

Als laatste kun je je afvragen of een "on-line" manager veilig is. Deze tool is dat niet, en levert een locale database file die je eventueel op een file share kunt zetten voor mobiele toegang met mobiele apps. Andere managers werken nog wel eens met een on-line database waar je op moet vertrouwen. Mij niet gezien.

[Reactie gewijzigd door Steef op 23 juli 2024 03:47]

[MeMoRy]

Was daar niet een hele discussie over? Die zin lijkt veiliger, omdat hij meer tekens bevat, maar omdat het allemaal Nederlandse woorden zijn, is het gemakkelijker te kraken dan evenveel willekeurige -zeg- base64 karakters.

[maali]

daarom gewoon Finse wachtwoorden verzinnen, die zijn ook makkelijk te onthouden maar grammatica dingen 'ga ik nu naar de aardbei in de sneeuw toe of kom ik van de aardbei in de sneeuw af?' geeft 't iets van 20 verschillende uitgangsvormen ofzo

[memen]

Als je het vergelijkt met aantal tekens wel inderdaad. Ik dacht alleen dat het idee van een wachtzin was dat er spaties tussen stonden, dus:

"Wij woonden vroeger op de katstraat drieëntwintig in Amsterdam" zou je kunnen zien als negen tekens die elk een dikke van Dale aan waarden kunnen aannemen (paar miljoen woorden, en dan heeft ook iedereen nog mogelijk een aparte spelling/vervoeging etc). Het idee is dat je op deze manier complexere wachtwoorden kunt gebruiken, terwijl mensen relatief weinig moeite zullen hebben met het onthouden ervan.

[Kaastosti]

Lengte is belangrijker dan bijzondere tekens. Uiteraard is ieder antwoord met een patroon (zelfde taal, bekende set tekens, zelf onderwerp etc.) makkelijker te kraken dan willekeurige karakters.

Punt is nog steeds dat je het master password moet kunnen onthouden. Daar kun je natuurlijk op trainen, maar als dat de drempel wordt haakt 90% af.

Dan beter een zin van een paar worden

[PTR]

Het gaat uiteindelijk om de entropie.

En als je talen mixt, bv ‘ik-walk-naar-de-closet’ wordt het helemaal lekker veilig. Er is een artikel van de persoon die de ‘high, low, special char’ methode ‘bedacht’ heeft en is daar later zelf van terug gekomen. Het is ook wiskundig aan te tonen. Lengte en onthoudbaarheid (niet op post-its) is belangrijker dan verschillende type karakters.

Daarnaast wordt mfa steeds meer regulier, dus dat ondervangt ook een heel stuk.

[bytemaster460]

Ja, maar bekend veilige managers kunnen natuurlijk ook exploits bevatten. Mijn probleem is dat de gevolgen zo enorm groot kunnen zijn als er een zwakheid in het systeem zit. Er wordt dan wel steeds meer gebruik gemaakt van een tweede factor maar dan nog.

[Da_Plague]

Het alternatief is dan om geen wachtwoordmanager te gebruiken en dan moet je alle wachtwoorden onthouden, dat gaat natuurlijk niet als het allemaal verschillende wachtwoorden zijn, althans als je meer dan 20 accounts moet onthouden. er van uitgaande dat je nog steeds "1 account - 1 wachtwoord" principe gebruikt.

2fa is een goede toevoeging maar dan nog zullen de meeste mensen terug vallen op 1 wachtwoord voor meerdere accounts.

Als men je database weet te kraken dan ligt je hele digitale leven op straat maar door je database goed te beveiligen met een sterk wachtwoord zoals bijvoorbeeld https://diceware.dmuth.org/ in combinatie met een bijvoorbeeld een "keyfile" dan verklein je het risico maar deze neem je natuurlijk nooit helemaal weg.

-edit: typo-

[Reactie gewijzigd door Da_Plague op 23 juli 2024 03:47]

[bilbob]

een keyfile gebruiken is wel zo verstandig.

Dan heb je iets wat jij alleen hebt. (je keyfile).
En iets wat jij alleen weet. (je password).
Waar je database staat is dan minder interessant.

[Reactie gewijzigd door bilbob op 23 juli 2024 03:47]

[dasiro]

Je vergeet het onderscheid tussen encryptie en sleutel. Wat jij zegt is misschien old-school moeilijk te bruteforcen, maar dan probeer je het wachtwoord of de bijbehorende sleutel te achterhalen. Als de encryptie zélf gekraakt wordt, dan maakt het niet uit of je een complex paswoord hebt.

[BugBoy]

Je zou verwachten dat elk zichzelf respecterende wachtwoord manager tenminste gebruik maakt van een gangbaar en vertrouwd encryptie methode, zoals bijvoorbeeld AES-256 en een juiste block-mode.

[Steef]

Vandaar de melding dat je wel een password manager moet gebruiken waarvan de code via een onpartijdige audit is gecontroleerd, zoals bij Keepass het geval is.

Kan natuurlijk nog steeds zo zijn dat het algoritme is de toekomst zwak blijkt te zijn, maar goed. Ergens houd het op natuurlijk

[dasiro]

zoals je zelf zegt: geen garanties voor de toekomst, daarom zijn terechte scepticisme over het single-point-of-failure dat hierdoor geïntroduceerd wordt.

[Shadow771]

Wat bedoel je hier met een 'online' manager? Een hosted BitWarden omgeving bijvoorbeeld kan ik begrijpen, maar heb je het ook over een self-hosted instance?

[BugBoy]

Een online manager is over het algemeen een stuk veiliger dan je (encrypted) database via een fileshare naar buiten toe aan te bieden. Ook bij de online wachtwoord managers wordt de data encrypted opgeslagen en is enkel te ontcijferen als je het wachtwoord hebt.

De problemen zitten doorgaan vaker in malafide browser extensies of andere trucs om een lokale vault te benaderen. De meeste wachtwoord managers ontcijferen het lokaal en dat staat vaak in het geheugen. Door daar gericht op aan te vallen heb je eerder een wachtwoord manager gekraakt dan toegang krijgen tot de versleutelde database.

[Jan-Remco]

De veiligheid is hoger dan een zelfde password bij elke site gebruiken. Als je echter bij elke site een ander complex wachtwoord hebt, en dat niet opschrijft maar weet te onthouden is dat inderdaad veiliger dan Keepass. Ik kan dat niet.
Ik heb nu zo'n 120 verschillende wachtwoorden in mijn Keepass staan, Daarnaast bewaar ik de wachtwoordfile op dropbox, zodat ik er overal bij kan. Dit is versleuteld, maar als de mensen bij dropbox die versleuteling weten te verbreken heb ik inderdaad een probleem.
Het wachtwoord van mijn Keepass is opgeslagen in mijn Mooltipass. https://www.themooltipass.com/
Daarvan heb ik de eerste generatie, mocht ik een keer overstappen naar de nieuwste versie dan kan ik mogelijk ook afscheid nemen van Keepass.

[hologr4m]

als je iets zoals Syncthing gebruikt i.p.v. dropbox, dan blijft het password database op jouw eigen apparaten

[Jan-Remco]

Klopt, maar ik wil het juist niet op mijn eigen apparaat, maar bij Dropbox, mocht ik een keer door ransomware alle bestanden versleuteld hebben, dan kan ik bij dropbox nog een backup terughalen tot een maand geleden.
Dropbox heeft daardoor al een keer alle bestanden gered van de administratie van een familielid.

[Da_Plague]

backups backups backups ;-)

met regelmaat offline backups maken verhelpt dit probleem,

[hologr4m]

Syncthing heeft ook "File versioning", dat per apparaat ingesteld kan worden. bijvoorbeeld:
- aan of uit
- voor hoelang

dit is een uitgebreide youtube video over Syncthing:
https://www.youtube.com/watch?v=OHtVVT2JDd0&t=8m39s

natuurlijk is er wel een grotere kans dat de versies ook ge-encrypt worden door ransomware, dan met dropbox, als de ransomware op al je apparaten zit

[Reactie gewijzigd door hologr4m op 23 juli 2024 03:47]

[bilbob]

tip: gebruik ook een keyfile. Kleine moeite maar groot verschil qua veiligheid.

[Jan-Remco]

Waarom is dat beter dan mijn wachtwoord in Mooltipass?

[bytemaster460]

Op dit moment onthoud ik alle wachtwoorden door een bepaalde systematiek te gebruiken waardoor de wachtwoorden per site uniek zijn, maar niet zo veilig als een willekeurige reeks tekens.
Mijn eigen systematiek kan natuurlijk ook “gekraakt” worden, maar dan liggen alleen mijn wachtwoorden op straat. Als er een gat in de beveiliging van Keepass wordt gevonden liggen er gigantisch veel wachtwoorden potentieel op straat.

[mcmd]

Hoe ga je dan om als je geforceerd bent om een wachtwoord te wijzigen? Dan werkt dit mechanisme toch niet meer? (ervan uitgaande dat het dynamische deel van je wachtwoord bepaald wordt door de sitenaam en daarmee eigenlijk ook een vaste waarde heeft)

[bytemaster460]

Dat is inderdaad een dingetje maar ook daarvoor heb ik wel een methode maar die heeft zijn beperkingen. Dat gaat niet meer werken als je op allerlei sites aan je tweede, derde of vierde ww toe bent.

[Jan-Remco]

Dat de beveiliging van Keepass gekraakt wordt, daar ben ik niet bang voor, zie https://keepass.info/ratings.html.
Ze zijn geaudit,
Mocht het gekraakt worden, dan nog liggen mijn passwords niet op straat, omdat de database niet centraal bij Keepass wordt bijgehouden. Dan heb ik tijd genoeg om een andere wachtwoordmanager te installeren, of een update van Keepass, en mijn wachtwoorden aan te passen.

[mjl]

Ofwel lokaal opslaan op een encrypted volume, of op een cloud service met 2FA.

Is net zo goed (wellicht zelfs beter) beveiligd dan online services.

Ik vind KeePass wat dat betreft ideaal, alles in eigen hand qua hosting.

Voor non tweakers misschien ingewikkelder… maar die moeten dan maar ergens een betaald abonnement nemen voor het gemak.

[RoestVrijStaal]

Waarom al je logins in één database als je ongelimiteerd databases kunt aanmaken?

Hierdoor liggen niet al je logins op straat als een van je databases op straat komt te liggen.

Je zou ook een database kunnen delen. Zoals bijvoorbeeld op het werk dat meerdere mensen (maar niet alle) bij de sociale media accounts van het bedrijf erbij moeten.

[bytemaster460]

Dan ga je natuurlijk voorbij aan het doel als je allerlei databases moet gaan aanmaken om je wachtwoorden in op te slaan die je vervolgens ook nog eens volledig gescheiden van elkaar moet gaan opslaan zodat ze niet collectief kunnen lekken.

[RoestVrijStaal]

Ik zie het probleem niet.

Op mijn smartphone heb ik geen behoefte om verzekeringszaken te doen. Dus de database met de logins ervoor hoef ik niet erop te hebben.

Omgekeerd hoef ik ook niet de account-logins van mijn gebruikte mobiele apps op mijn desktop te openen. Dus heb ik dat ook gescheiden.

In een organisatie heeft ieder toch ook een aparte rol met bijbehorende permissies?

[bytemaster460]

Maar thuis wel en dan heb je dus een database voor banken, verzekeraars, fora, webshops etc. die je dan allemaal gescheiden van elkaar moeten hebben opgeslagen. Dat schiet wat mij betreft het doel voorbij.

[Deleon78]

Inmiddels zou je zeggen dat het opschrijven in een boekje of op een post-it veiliger is dan digitaal

[M. Schaap]

Waarschijnlijk wel, maar dat boekje kan ook gestolen worden.

Zelf heb ik lange tijd al mijn wachtwoorden in een boekje bijgehouden, maar ben sinds een paar maanden over op KeePass XC. In Firefox heb ik de extensie hiervoor geïnstalleerd, zodat gebruikersnaam en wachtwoord automatisch kunnen worden ingevuld bij het inloggen op een site. Dat is wat mij betreft het grootste voordeel, want bij handmatig invullen is een foutje snel gemaakt.

Voor Android gebruik ik Keepass2Android, dat gebruik maakt van dezelfde database. Vooralsnog synchroniseer in de databases handmatig, met een backup op een usbstick. Ik heb een Yubikey besteld, en ben nu aan het kijken hoe ik daarmee een en ander nog wat veiliger kan maken.

[Deleon78]

Mee eens, maar het grootste risico is digitale inbraak (ik houd het even bij particulieren). De dief die daadwerkelijk nog inbreekt is vooral op zoek naar bv geld, juwelen en elektronica, niet een notitieblokje

Zelf maak ik ook gebruik van een keydatabase zonder plugin dan.

[Nicap]

Dat ligt deels aan jezelf natuurlijk. Als jij een makkelijk wachtwoord gebruikt en niet regelmatig wijzigt, dan verlaag je de veiligheid.

[bytemaster460]

Mij gaat het meer om de robuustheid van de encryptie van de databasefile. De schat aan wachtwoorden die dan ineens wereldwijd op straat ligt is enorm.

[stijnos1991]

Je kan meerdere lagen toevoegen zoals een keyfile of OTP om je database te openen. Natuurlijk valt of staat het met de implementatie van de encryptie op het kdbx bestand maar de zwakste schakel zal dat niet zijn.

[bilbob]

keyfile ftw !! Dat maakt hacken zo onwijs moeilijk.

[jcbvm]

De veiligheid is 1 punt, maar wat eigenlijk veel beter aan het gebruik van zo’n manager is, is dat je je wachtwoorden niet hoeft te onthouden, en dat betekent dat je de wachtwoorden ook gemakkelijk kunt vervangen met een nieuwe zonder dat je er veel omkijken naar hebt. Mocht er dus iets gebeuren met je account of database, dan zou je vrij eenvoudig je wachtwoorden kunnen vervangen.

[xtinus]

KeePassXC (in tegenstelling tot KeePass en KeePassx) ondersteunt ook een hardware token zoals een Yubikey en OnlyKey; dat maakt het een grotere uitdaging om de database te kraken.

Ik heb het zelf nog niet geprobeerd, maar een 2fa (something you know, and something you have) zou heden ten dage standaard moeten zijn, ook op websites.

[akooijman]

Het grootste risico is nog steeds dat een wachtwoord vanuit een gehackte online dienst hergebruikt wordt.
Zelfs een onbeveiligde wachtwoord beheerder (een Excel bestand) voorkomt dat.
Tegen een gerichte aanval op jou 'persoonlijk' is maar weinig bestand.
In de praktijk is de kans dat je database in vreemde handen valt niet groot, maar zorg dan in elk geval dat daar een goed wachtwoord op zit, bij voorkeur met 2fa. (kan dat bij KeePass?)

[TweakJunior]

Wat is het verschil tussen KeePassXC en de normale KeePass?

[Castaldi]

Ik ben kort geleden geswitcht van KeePass naar KeePassXC. KeePass heeft misschien iets meer geavanceerde mogelijkheden, maar ik stoorde me altijd aan de interface, die toch wat gedateerd oogt. KeePassXC doet dat toch beter . En zelf mis ik geen functionaliteiten.

Je kunt ze overigens met dezelfde database gewoon naast elkaar gebruiken. Dan kun je zelf testen welke je het prettigst vindt werken.

[.Gertjan.]

Daarnaast is Keepass XC ook te gebruiken op Linux en MacOs en is die volledig opensource. Er zijn wel mogelijkheden om keepass ook werkend te krijgen op een Mac, maar dat is mij nooit echt lekker gelukt.

Ik heb destijds eerst de XC gedraaid als “alleen lezen” en een instance van Keepass gebruikt om de database te beheren, maar uiteindelijk helemaal overgestapt. XC is voor mijn gevoel wat frisser en reageert iets beter, maar dat is misschien enkel een gevoel.

[bilbob]

heeft keepassXC TOTP ingebouwd?

Keepass heeft er diverse pluggins voor.

[Goof2000]

Naar aanleiding van bovenstaande discussie, het blijft een risico als iemand je database in handen krijgt. Dat het nu niet te brute-forcen is betekend natuurlijk niet dat het over 5-10 jaar nog steeds niet mogelijk is.
Hoeveel mensen wijzigen al hun paswoorden elke paar jaar en ook hun master wachtwoord regelmatig? Ook bij gebruik van password managers zou dit moeten.

[Derkades]

Elke 5 jaar wachtwoorden veranderen zou niet echt een probleem moeten zijn

[Daniel Jackson]

Ik ben een erg tevreden gebruiker van deze manager. Erg handig vind ik de TOTP integratie. Nooit meer de telefoon erbij hoeven pakken voor websites die zo hun 2FA afhandelen. Mijn dualboot systeem van Windows en Linux gebruikt dezelfde database en op Android kan Keepass2Android deze ook openen. Dus alles mooi synchroon zonder dat het bij een derde partij online hoeft te staan.