Software-update: KeePass Password Safe 1.42

Dominik Reichl heeft zijn opensource-passwordmanager KeePass Password Safe voorzien van een update naar versie 1.42. Dit programma kan accounts opslaan met de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en url. Alle gegevens worden veilig in een met aes of Twofish versleutelde database opgeslagen. Zodoende hoef je nog slechts één hoofdwachtwoord te onthouden voor al je accounts. KeePass Password Safe kan ook automatisch wachtwoorden genereren, lijsten importeren en exporteren, en heeft een geavanceerde zoekfunctie. Naast KeePass 1.x is er ook een 2.x-versie, die meer mogelijkheden biedt. De changelog van deze release laat de volgende veranderingen en verbeteringen zien:

New Features:

• Added option 'Show warning when the key transformation settings are weak' (in 'Tools' → 'Options' → tab 'Advanced', turned on by default).
• Added accessibility help page.

Improvements:

• Increased default number of AES-KDF iterations.
• Improved dialog banner styles.
• Minor process memory protection improvements.
• Installer: the desktop shortcut is now created for all users (if the option 'Create a desktop shortcut' is activated).
• Installer: removed the Quick Launch shortcut option.
• Upgraded installer.
• Various UI text improvements.
• Various code optimizations.
• Minor other improvements.

Bugfixes:

• Fixed background of CHM help pages.

De volgende downloads zijn beschikbaar:
KeePass Password Safe 1.42 (exe, Engels)
KeePass Password Safe 1.42 (zip, Engels)
Nederlands taalbestand voor KeePass Password Safe 1.42

Versienummer	1.42
Releasestatus	Final
Besturingssystemen	Linux, Windows 8, Windows 10, Windows 11
Website	KeePass Password Safe
Download	https://keepass.info/download.html
Licentietype	GPL

Reacties (18)

[vespino]

Waarom zou iemand eigenlijk nog voor deze versie kiezen?

[RoestVrijStaal]

IMHO zou de enige valide reden zijn dat die iemand een password manager wil gebruiken die compatibel is met het KeePass Database bestanden, maar absoluut niet zoiets onveiligs als triggers en/of scripts wil gebruiken (dus niet zoiets KeePass 2), maar op een of andere manier niet over wil op alternatieven zoals KeePassXC.

Het is natuurlijk ook een kip-ei-verhaal: de 1.x branch wordt nog ondersteund door de ontwikkelaar, dus waarom overstappen?

[Verwijderd]

Het verhaal over die triggers berust vooral op onbegrip (of sensatie).

Als een aanvaller (of diens malware) schrijfrechten op jouw Windows PC verkrijgt, zijn er, ook zonder die triggers, zeer veel mogelijkheden om toegang te krijgen tot jouw wwdb (wachtwoorddatabase). Zelfs zonder adminrechten.

Denk aan het vervangen van de snelkoppeling naar de echte wwm (wachtwoordmanager) naar malware die een identieke login-dialoogbox als de wwm laat zien. Als deze, nadat te jouw ww hebt ingevoerd, jouw database + password uploadt, en vervolgens het systeem herstelt en jou, met het gestolen wachtwoord, inlogt op de echte KeePass (of liegt dat je een tikfout hebt gemaakt), hoef je niet eens gemerkt te hebben dat je gehacked bent.

Er zijn nog veel meer mogelijkheden, denk aan malware of een fysieke aanvalier die jouw huidige KeePass.exe naar een map kopieert waar jij (en dus die malware) schrijfrechten hebt, daar een foute DLL bij zet en de snelkoppeling aanpast (als ik me niet vergis checkt Windows het MOTW niet bij het inladen van DLL's).

Het register aanpassen zodat een andere exe start als je de wwdb als bestand opent, kan ook. Het register biedt overigens nog meer omleidingsmogelijkheden.

Wat oudere Windowsversies niet hadden, is de mogelijkheid om problemen met admin-restricties te omzeilen via een soort virtualisatie van het bestandssysteem en register - iets waar ook malware (draaiend onder jouw restricted account) dankbaar misbruik van kan maken.

Als jouw Windows systeem, of "slechts" jouw account, gecompromitteerd is, is effectief niets meer veilig. Malware kan zelfs rootcertificaten toevoegen wat maar weinig mensen (en virusscanners) zullen opmerken.

Het wordt nogal eens vergeten, maar vooral onder Windows (maar ook MacOS en gangbare Linux distro's) begint allles met een betrouwbaar systeem en een veilig account.

Onder iOS/iPadOS en Android bestaat er een veel sterkere scheiding tussen apps en zijn er per app allerlei beperkingen mogelijk, maar bijv. onder Android moet je als de dood zijn voor apps die iets met "Toegankelijkheid" willen (een accessibility service vormen) want die kunnen, als een Attacker in the Middle, op jouw toestel wat jij kan op jouw toestel. Dat is nog net geen root, maar wel bloedlink bij apps met foute bedoelingen.

[RoestVrijStaal]

Het was dus niet mijn bedoeling om de discussie weer dunnetjes over te doen.

Ik denk dat we minder het met elkaar oneens zijn dan het lijkt, lees mijn reactie daar eens.

Wat ik er nog over kwijt wil, is dat ik de combinatie van:

• De beslissing van de ontwikkelaar(s) om een wachtwoordmanager een trigger annex scripting systeem te geven
• De huidige implementatie ervan door de ontwikkelaar(s)

niet veilig genoeg vind, en op zo'n niveau dat het tegen het laakbare aan zit.

[Verwijderd]

Het was niet bedoeld als aanval!

Inderdaad lijkt die mogelijkheid voor scripting nogal featuritis (ik wist niet eens dat het kon, totdat het "lek" bekend werd) maar uit reacties in deze draad maak ik op dat er echte gebruikers van zijn.

Het probleem wat keer op keer terugkomt is dat er mensen zijn die niet snappen dat als je je jouw PC of ander apparaat niet kunt vertrouwen, je daar geen wwdb op moet ontgendelen.

Het idee van een echte kluis is ook dat je spullen veilig zijn zolang deze op slot zit. Zodra je deze opent terwijl je niet ziet dat er iemand met een grote moersleutel achter je staat helpt die kluis geen moer.

Gedachtenspinsels dat het toch veilig kan, worden mede in stand gehouden door kwakzalvers die claimen dat je op een gehackte PC (Windows of MacOS) zelfs veilig zou kunnen internetbankieren, zoals het Duitse Coronic dat anti-trojan software maakt voor o.a. bankfilialen van de Duitse Sparkasse (Nederlandstalig artikel hierover, ook vermeld in in een eerdere reactie van mij op security.nl).

Maar feitelijk zou je helemaal niks op zo'n apparaat moeten willen doen - totdat je voldoende zeker weet dat alle bagger verwijderd is. En dát kan knap lastig zijn, o.a. door zo'n aangepast KeePass configbestand. Maar er zijn véél meer evil wijzigingen mogelijk die zelden of nooit allemaal door virusscanners worden ontdekt (zoals een an sich niet kwaadaardige BYOVD), laat staan automatisch ongedaan worden gemaakt (een clean install is het meest veilig, maar dan nog kan er rommel in bijv. firmware zijn achtergebleven).

Ik denk daarom dat het geen goed idee is om een ooit gecompromitteerde PC te (blijven of gaan) gebruiken voor bijvoorbeeld kritische beheertaken. Na ransomware zou ik in elk geval alle beheercomputers nieuw kopen.

Maar goed, ik dwaal wat af van KeePass

[Reactie gewijzigd door Verwijderd op 22 juli 2024 18:55]

[Verwijderd]

Door vespino:

Waarom zou iemand eigenlijk nog voor deze versie kiezen?

Omdat er, ook qua beveiling, verbeteringen in zijn doorgevoerd?

Of doel je wellicht op de door sommigen als ouderwets bestempelde GUI?

Ik kies ervoor omdat ik het al vele jaren een briljant programma vind, en het zeer waardeer dat mensens zoals Dominik Reichl zich jááren voor dit soort programma's inzetten, en hij alles als open source aanbiedt.

Dat er een database format ontstaan is dat door allerlei andere programma's wordt ondersteund (waaronder KeePassDX onder Android, en KeePassium onder iOS/iPadOS), is daarnaast hartstikke fijn.

Persoonlijk heb ik totaal geen behoefte in gepimpte, telkens wijzigende GUI's. Van mij mag iedereen de GUI van KeePass ouderwets vinden, maar net als bijv. Total Commander (na -het is even geleden- Norton Commander onder DOS) kan ik er mee lezen en schrijven.

Waarom zou ik voor iets anders kiezen?

[The Third Man]

Omdat de 2.x generatie een stuk meer features biedt, wel of niet gepimpte GUI is irrelevant daarbij.

[curkey]

Eens, hij doet al jaren precies wat ik wil. Geen fancy-schmansi features of andere vormen van enshittification. Diverse plugins maken het compleet, en de software werkt onder Windowes, Linux en Android.

[John Doos]

https://keepass.info/compare.html

[J-D]

@Verwijderd ik denk dat @vespino doelt op het gebruik van versie 1.x ten opzichte van versie 2.x

Hier kan je de uitleg vinden van de ontwikkelaar:
https://keepass.info/devstatus.html

[Verwijderd]

Door J-D,

@Verwijderd ik denk dat @vespino doelt op het gebruik van versie 1.x ten opzichte van versie 2.x

Ah - dat kan, niet aan gedacht, sorry.

Zelf ben ik al heel lang geleden overgestapt van 1.x naar 2.x, ik weet niet eens meer waarom precies (niet dat ik fan ben van de .Net ballast, maar goed).

[Friemel]

KeePass heeft ondersteuning voor triggers en die gebruik ik ook, terwijl ik die bij andere uitvoeringen niet zie.
KeePassXC heeft dan weer ingebouwd TOTP ondersteuning, maar geen triggers.
Lastige keuze.

[emn13]

KeePass 2 heeft TOTP ondersteuning ingebouwd, doel je hier specifiek op versie 1? De UI is echter wat technisch, maar ik heb het ooit gebruikt, het werkt in principe wel. https://keepass.info/help/base/placeholders.html#otp

[Friemel]

Je hebt gelijk, maar het is wel een beetje verstopt in KeePass 2.

Tot nu gebruikte ik altijd Authy voor TOTP, maar hun desktop-versie stopt er dit jaar mee, dus zocht ik de oplossing in een KeePass* app.

[socialhugo]

Welke zou jij dan aanraden? Keepasxc?
Ik was het toevallig van de week aan het uitzoeken

[Verwijderd]

socialhugo schreef:

Welke zou jij dan aanraden? Keepasxc?
Ik was het toevallig van de week aan het uitzoeken

Ik heb een tijdje geleden gespeeld met KeePassXC op een W11 test-PC, vooral de browser-plugin leek voldoende goed te werken.

Zoals ik gisteren elders schreef kan het enorm tegen phishing helpen als een wachtwoordmanager automatisch met login-gegevens komt op elke bekende website (door die wachtwoordmanager herkend aan de domeinnaam).

Mits je niet in de database gaat zoeken als de wachtwoordmanager de domeinnaam niet herkent, maar jij het beter denkt te weten - terwijl het om een valse domeinnaam gaat - zoals je bijv. hier kunt zien (zojuist: webinfo-bunq[.]com is natuurlijk niet van Bunq bank).

Een goede browser-plugin en actief onderhoud door noodzakelijkerwijs door jou vertrouwde mensen (die het niet ineens zat worden en de boel overdoen aan oplichters) lijken mij belangrijke selectiecriteria - vooral als je geen held bent in het checken van domeinnamen.

[socialhugo]

Dank je. Ik ga er mij verder in verdiepen. Dit weekend maar eens goed door al mijn accounts heen en de boel 'verversen'

[Gerard001a]

Blijft voor mij de beste paswoord kluis en dat al jaren.
Prima stukje software en zelf vind ik het heel fijn dat ze niet mee doen met het constant veranderen van het uiterlijk 👍
Mijn paswoorden staan gewoon als versleuteld bestand op mijn PC en ik vertrouw volledig op de encryptie van Keepass.
En met autotype zet Keepass, zowel mijn inlognaam alsook mijn wachtwoord neer op de site waar ik wil inloggen.
En dat allemaal gratis ( donatie is vrijwillig) en dat al jaren.
Ben een tevreden gebruiker en hou vertrouwen in Keepass 👍😊
Gebruik wel de uitgebreidere versie 2.54 maar beide werken met de zelfde versleuteling