Software-update: KeePassXC 2.7.0

KeePass Password Safe is een bekende opensourcewachtwoordmanager die oorspronkelijk voor het Windows-platform werd ontwikkeld, maar inmiddels met behulp van Mono ook op andere platforms zijn werk kan doen. KeePassXC wordt ontwikkeld in C++ met Qt voor het grafische deel waarmee het op Linux, macOS en Windows een passend uiterlijk biedt. Hiermee kunnen accounts worden opgeslagen, inclusief de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en URL. Alle gegevens worden veilig in een met aes, twofish of ChaCha20 versleutelde database opgeslagen. Verder kan het programma automatisch wachtwoorden genereren en lijsten im- en exporteren. Meer informatie is te vinden op deze pagina. De changelog voor deze uitgave ziet er als volgt uit:

Major Additions

• Implement KDBX 4.1 [#7114]
• Add direct write save option for cloud storage and GVFS [#6594]
• Prevent screen capture on Windows and macOS [#6030]
• Support quick unlock using Windows Hello [#7384]
• Support quick unlock using Apple Watch [#5526]
• Allow specifying database backup paths [#7035]
• Add tag functionality [#6487][#7436][#7446]
• Add password rating column to entry view [#4797]
• Add group clone action [#6124]
• Show modifications between entry history items [#6789]
• Ability to bulk-delete and purge unused custom icons [#5970]
• Support adding custom passphrase wordlists [#6799]
• Support passphrase wordlists in numbered and PGP-signed formats [#6791]
• Implement support for hardware keys via wireless NFC [#6895]
• SSH Agent: Add support for OpenSSH 8.2 FIDO/U2F keys [#6371]
• CLI: Implement attachment handling [#5538]
• CLI: Add support for okon in offline HIBP checks [#5478]
• CLI: Implement search command and remove locate [#6805]
• CLI: Add db statistic output to db-info command [#7032]
• CLI: Add -i/--include option to generate command. [#7112]
• CLI: Add a -n (--notes) option to add and edit commands [#4646]
• CLI: Add keyfile option to import command [#5402]
• CLI: Adding a best option to clip to copy a password of the best match [#4489]
• Browser: Add Microsoft Edge support on Linux [#7100]
• Browser: Support native password generator from the extension [#6529]
• Browser: Add group settings [#4180]
• Browser: Add feature to ignore entries for HTTP-Auth Logins [#5394]
• Browser: Support triggering Auto-Type from browser extension [#6272]
• Browser: Add delete-entry command to API [#6899]
• Browser: Add search 'by-path' url to API [#5535]
• Browser: search for entries by UUID to API [#4763]
• Browser: Support auto-download of favicon on entry addition [#7179]
• Auto-Type: Major improvements to Auto-Type [#5864][#7463][#7435][#7391][#7129][#6400][#6364][#6361][#5283][#7507]
• Auto-Type: Fix typing to virtual machines on Windows [#7366]
• Auto-Type: Re-implement X11 keysym emulation [#7098]
• Auto-Type: Support multiple Xkb layouts [#6247]
• Auto-Type: Abort keystroke if modifiers held on X11 [#6351][#6357]
• Auto-Type: Add TOTP option to entry level Auto-Type menu [#6675]
• FdoSecrets: Major Refactor and Code Consolidation [#5747][#5660][#7043][#6915]
• FdoSecrets: Implement unlock before search [#6943]
• Reports: Add browser statistics report [#7197]

Major Changes

• rel="external" href="https://github.com/randombit/botan">Botan [#6209]
• Improve attachment handling and security [#6606][#5034][#7083]
• Allow selecting any open database in unlock dialog [#5427]
• KeeShare: Remove checking signed container and QuaZip dependency [#7223]
• Introduce security option to enable copy on double click (default off) [#6433]
• Add 'delete entry without confirm' functionality [#5812]
• Improve macOS and Windows platform integration [#5851]
• Lock only the current database by default [#6652]
• Show expired entries on DB unlock [#7290]
• Update D-Bus adaptor interface class name to match definition file [#7523]

Other Changes and Fixes

• Add countdown progress bar to TOTP preview [#6930]
• Enter favicon url directly on icons page [#6614]
• Set C++17 as standard in the build system [#7180]
• Internalize ykcore into code base [#6654]
• Transition to Visual Studio builds on Windows [#5874]
• Ability to delete entries from health check reports [#6537]
• Enhance remembering last-used directories [#6711]
• Implement org.freedesktop.appearance.color-scheme support on Linux [#7422]
• Support sorting HTML export [#7011]
• Add display number of characters in passphrases [#5449]
• Use Alt+Tab on macOS to switch between databases [#5407]
• Add feature to sort groups using shortcut keys [#6999]
• Add Ctrl+Enter to apply password generator changes [#6414]
• Display Database created timestamp on statistics report [#6876]
• Browser: Improve best matching credentials setting [#6893]
• SSH Agent: Use both Pageant and OpenSSH agent simultaneously on Windows [#6288]
• SSH Agent: Allow using database path to resolve keys [#6365]
• SSH Agent: Show correct error messages in main window [#7166]
• Multiple fixes for MSI installer [#6630]
• Fix tab order for CSV import dialog to match screen order [#7315]
• Don't mark kdbx:// urls as invalid [#7221]
• Make selected text copyable instead of copying password [#7209]
• Detect timestamp resolution for CSV files [#7196]
• Fix crash while downloading favicon [#7104]
• Correct naming of newly generated keyx files [#7010]
• Place the 'Recycle Bin' at the bottom of the list when groups are sorted [#7004]
• Handle tilde with custom browser paths [#6659]
• Don't scroll up when deleting an entry [#6833]
• Set the MIME-Type to text/plain when using wl-copy on wayland [#6832]
• Fix adaptive icon painting [#5989][#6033]
• Fix favicon download from URL with non-standard port [#5509]
• Ignore recycle bin on KeePassHTTP migration [#5481]
• Fix keepassxc-cr-recovery utility [#7521]
• Fix Auto-Type not working when audio recording indicator is active on macOS 12.2+ [#7526]

Versienummer	2.7.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11
Website	KeePassXC
Download	https://keepassxc.org/download/
Bestandsgrootte	43,07MB
Licentietype	GPL

Reacties (21)

[RoestVrijStaal]

Major Changes

• rel="external" href="https://github.com/randombit/botan">Botan [#6209]

Jammer dat het zo in de changelog staat, want als je de gelinkte PR leest, is het nogal een verandering.

Alle gebruikte externe encryptie-libraries en eigen implementaties van encryptie-algorithmen worden vervangen door één externe library, namelijk Botan.

Conclusies over veiligheid (o.a. single point of failure) en backwards compatibility mag men zelf trekken

[Reactie gewijzigd door RoestVrijStaal op 23 juli 2024 05:21]

[Jogai]

Backwards compatibility hoeft niet uit te maken bij het gebruik van een andere library. Verder lijkt Botan een gedegen project wat ook geaudit wordt, en ook bij overheidsinstellingen gebruikt wordt. Mij lijkt het netto winst.

[Ruikersnaam]

Nu het er toch over gaat; ik vraag me al heel lang af hoe het zit met de veiligheid van dit soort programma's. Het wordt me links en rechts geadviseerd, maar ik ben er toch huiverig voor. Kan zo'n wachtwoord manager dan niet gekraakt worden? of defect raken waardoor ik overal uitgesloten word? De database wordt toch online opgeslagen? Of begrijp ik dat helemaal verkeerd?

[Reactie gewijzigd door Ruikersnaam op 23 juli 2024 05:21]

[Jack Flushell]

KeePassXC slaat uit zichzelf niets op in de cloud. Dat moet je zelf doen / regelen, door bijvoorbeeld de database op te slaan in je OneDrive folder: Zie hier.

[Wiley99]

Juist bij deze soort wachtwoordmanagers (de hele serie zoals Keepass, KeepassX, KeepassXC, maar ook andere, er is er één die zo meteen vast nog in de comments terug komt) heb je je eigen database (-bestand) waarbij je zelf kiest of je die online opslaat op bijvoorbeeld je OneDrive of Google Drive of Dropbox of wat dan ook. Sommige mensen (waaronder Wiley99) kiezen er ook voor om de database alleen te synchroniseren tussen hun eigen apparaten (bijvoorbeeld met het eerder genoemde Syncthing of Resilio Sync) en dus niet in de 'cloud' op te slaan, waardoor de kans op hacken weer wat kleiner is. Defect raken is alleen te voorkomen door het aloude adagium: back-up, back-up, back-up.

[_HugoBoss_]

Dat was ook jaren mijn “strategie”. Alleen offline/binnen eigen netwerk het kdbx bestand synchroniseren.
Maar dat bleek voor mij (meerdere apparaten, meerdere besturingssystemen, aanpassingen maken op verschillende apparaten vanaf werk, mobiel, laptop, etc) toch niet ideaal.

Tegenwoordig gebruik ik cloudopslag voor de kdbx (het veranderlijke deel) en distribueer ik de keyfile offline.

Om bij de data te komen heb je dus een master wachtwoord + keyfile + de kdbx nodig. Zodoende kan de cloudprovider of iemand met ongeoorloofde toegang tot je cloudopslag dus niks bruteforcen.

[joco]

nee bij deze is het net zo dat jij volledige in controle bent over die database file
Dit is niet een lastpass of bitwarden (als je hun cloud gebruikt)

syncen tussen apparaten moet je dus zelf doen (ik gebruik google drive)

[Aardbol_23564]

Je database blijft offline en privaat, zolang je zelf geen maatregelen neemt om die ergens online op te slaan. Ik gebruik Resilio Sync om al mijn databanken te syncen tussen al mijn toestellen. Zo heb ik altijd redundantie en backups en blijven mijn databanken privaat.

Keepass (en het KDBX formaat) is heel veilig om volgende redenen:
- je database blijft offline
- de software kan niet worden aanpast zonder dat je zelf een update doorvoert (in tegenstelling tot online alternatieven zoals 1password, lastpass, enz.)
- de broncode is openbron en vele ogen controleren de code
- de code wordt vaak geaudit door experten en wordt gesponsord door de EU (https://joinup.ec.europa....fossa-keepass-code-review)

En KeepassXC is een populaire alternatieve software om je databanken te gebruiken en ondersteunt tot de nieuwste KDBX 4.1 versie.

[teek2]

Ik denk dat je pw managers in het algemeen bedoelt? Ze zullen vast gekraakt kunnen worden, maar het gaat om risico-minimalisering, en dus moet je kijken naar de alternatieven. En die zijn vaak onveiliger, bijv overal hetzelfde wachtwoord (1 site gekraakt, al je accounts gekraakt), overal simpele wachtwoorden (makkelijker te raden), wachtwoorden op een briefje (raak je kwijt, bij brand is het weg), een slim systeem (site + nummer + nog iets, bijv, maar als een crappy site wordt gehacked en de hacker jouw systeem begrijpt ben je alsnog de pineut.)

Met een pw manager heb je idd al je eieren in 1 mand, maar, die mand is wel gemaakt door een partij met maar 1 doel: Die mand zo veilig mogelijk maken. Hopelijk minstens zo veilig als de veiligste sites die je gebruikt. Plus, je zet er mfa (multifactor-authenticatie) voor (en/of je vingerafdruk/faceID). In principe onthoud je dan 1 complex paswoord. Je multifactor authenticatie keys (bijv van Microsoft authenticator) zet je in iCloud/OneDrive oid (sommige apps kunnen ze exporteren maar ja je wilt ze niet in je pw manager), zodat als je dat ene apparaat kwijt raakt je ze nog terug kunt krijgen (met pijn en moeite en via een apparaat wat als is ingelogd oid, en... hmm ik ontdek nu mijn eigen zwakke plek, 1 iOS apparaat met mijn MFA app... Nog tips hiervoor? Misschien moet ik nog een iPad erbij kopen ). Ik zou alle MFA keys ook op de telefoon van mn vrouw kunnen zetten, maar die heeft Android. Lastig.

Ja, voor elke website een verschillend, sterk wachtwoord in je hoofd onthouden is nog veiliger maar dat is niet te doen (ik heb denk ik al meer dan 100 random strings van ~25 characters in mijn pw manager en dan nog wat crypto private keys, etc). Al helemaal niet als je gegevens af en toe moet veranderen of wilt delen met iemand anders. En natuurlijk moet je ook nog overal mfa aanzetten zodat als je gekraakt wordt, er nog niets mee te doen is. (Dat biedt niet iedereen, maar wel iedereen die belangrijk is, sites die het niet hebben moeten iig niet je betaalgegevens hebben bijv.) Veiligheid werkt altijd met lagen. Meer lagen is beter, een onbreekbare laag bestaat denk ik niet (wel lagen die nog nooit gebroken zijn, maar je krijgt geen garanties).

[Reactie gewijzigd door teek2 op 23 juli 2024 05:21]

[pe0mot]

Heb dit op mijn Mac m1 en op Windows. Browser Edge en opslag op iCloud.
Op de iPhone gebruik ik Keepassium.
Ben er heel blij mee, werkt bijna altijd erg goed.
Maar regelmatig heb ik dat de database niet wordt gevonden en er een .old bestand is aangemaakt.
Ben ik de enige, of zijn er meer Tweakers met deze ervaring?

[Reactie gewijzigd door pe0mot op 23 juli 2024 05:21]

[CaptainKansloos]

Dat lijkt me eerder een sync probleem (via iCloud) dan een probleem met KeepassXC. Ik gebruik zelf Keepass (zonder XC) via sync software van mijn NAS en loop daar ook wel eens tegenaan. Maar via bv Syncthing had ik daar ook wel eens last van. Syncen is nou eenmaal best gevoelig voor gelockte bestanden etc. Over meerdere apparaten tegelijk. Zolang het niet de spuigaten uitloopt, 'hoort het er een beetje bij' denk ik.

[KVan]

Ik gebruik Keepass op meerdere W10 en Android machines en heb behalve 1 keer als er bekende netwerk problemen waren nooit issues gehad met syncen van de Keepass database naar mijn Synology en recenter naar mijn OneDrive (op het werk kan ik niet meer bij mijn Syno). Lijkt idd op dat netwerk issues de sync kunnen in de war sturen.

[nopcode]

Nog niet gezien.
Ik gebruik wel Cryptomator die tussen Keepass en iCloud zit.

[Carlos0_0]

Je kan iCloud ook op Windows gebruiken, je heb daarvoor app in de store.
Er is ook alleen een browser plug-in voor Firefox en chromium browsers.

[teek2]

Dit had ik ook af en toe, toen ik syncte via NextCloud. Ik had ook dat ik dan steeds op Android via Nextlcoud de keepass db opnieuw moest openen. Dat waren voor mij de reden om BitWarden te proberen (met ingebouwde sync, ik host de server zelf, vaultwarden). Tot nu toe bevalt dat goed.

[_HugoBoss_]

Herkenbaar (en oplosbaar!). Ik heb hierover uitvoerig gecommuniceerd met de ontwikkelaar van Keepassium.
Keepassium zegt hierover: "By default, desktop apps save the database to a temporary file, then delete the original database, then rename the temporary file as the original. It looks as if the database was simply updated, but technically this is a new file. But KeePassium’s link points to the original database, which has been deleted."
Als de kdbx op een windows share zou worden opgeslagen dan is het normaal gesproken geen probleem. Zo lang de filename niet wijzigt, is het hetzelfde bestand, toch?
Bij cloud storage werkt het meestal anders. Een file heeft een bepaald ID/nummertje en de naam is slechts een label dat wij als gebruiker zien. Wanneer een andere applicatie (o.a. KeepassXC) een nieuwe/gewijzigde file opslaat, wordt een nieuw bestand aangemaakt en zo verliest Keepassium de koppeling met het specifieke ID/nummertje op je cloudopslag.

Keepassium support zegt:
KeePassXC: settings → General → Basic Settings → File Managements → Safely save database files (disable if experiencing problems with Dropbox, etc.) → turn it off.
Het heet nu "alternate saving method" geloof ik.


Ter naslag: voor linux gebruikers i.c.m. google-drive-ocamlfuse moet in ~/.gdfuse/default/config de waarde mv_keep_target=true worden gezet om exact dezelfde reden.

[Jogai]

Mooie update. Je kan nu ook sorteren op de sterkte van wachtwoorden. En dit was ook wel een fijne feature: "Ability to bulk-delete and purge unused custom icons" (al ruimde die maar 5 iccontjes op in mijn geval).

[Xantis]

SSH Agent: Add support for OpenSSH 8.2 FIDO/U2F keys []

Awh yea

[Lebans]

Werkt niet meer onder W7.

[_Hans]

Hetzelfde hier, alles op prima op W10 maar niet in gang te krijgen op mijn W7 machine. Zelfs na installatie meest recente c++ redistributables als wordt aangeraden bij missing .dll problemen bij de release info.

Heeft iemand deze draaiend op Windows 7?

[Lebans]

Nu wel, er is een legacy versie op de github-site:

https://github.com/keepassxreboot/keepassxc/releases/