Software-update: KeePass Password Safe 1.43

Dominik Reichl heeft zijn opensource-passwordmanager KeePass Password Safe voorzien van een update naar versie 1.43. Dit programma kan accounts opslaan met de bijbehorende gegevens, zoals gebruikersnaam, wachtwoord en url. Alle gegevens worden veilig in een met aes of Twofish versleutelde database opgeslagen. Zodoende hoef je nog slechts één hoofdwachtwoord te onthouden voor al je accounts. KeePass Password Safe kan ook automatisch wachtwoorden genereren, lijsten importeren en exporteren, en heeft een geavanceerde zoekfunctie. Naast KeePass 1.x is er ook een 2.x-versie, die meer mogelijkheden biedt. De changelog van deze release laat de volgende veranderingen en verbeteringen zien:

New Features:

• Added option 'Prevent certain screen captures' (in 'Tools' → 'Options' → tab 'Advanced', turned off by default); note that this may also prevent legitimate other software (remote desktop solutions, accessibility tools such as screen magnifiers, etc.) from seeing KeePass windows.
• Added {PASSWORD_ENC} placeholder, which is replaced by the password of the current entry in encrypted form (DPAPI/CryptProtectData).
• Added '-pw-enc:' command line parameter.

Improvements:

• Improved database save confirmation dialog text.
• Improved behavior of the translation system for untranslatable strings.
• Improved project cleanup script.
• Upgraded installer.
• Various UI text improvements.
• Various code optimizations.
• Minor other improvements.

Bugfixes:

• Fixed a Windows version detection bug.

De volgende downloads zijn beschikbaar:
KeePass Password Safe 1.43 (exe, Engels)
KeePass Password Safe 1.43 (zip, Engels)
Nederlands taalbestand voor KeePass Password Safe 1.43

Versienummer	1.43
Releasestatus	Final
Besturingssystemen	Linux, Windows 8, Windows 10, Windows 11
Website	KeePass Password Safe
Download	https://keepass.info/download.html
Licentietype	GPL

Reacties (21)

[xiam]

KeePassium werkt ook op de iPhone met gezichtsherkenning en automatisch invullen van velden. Ook al is het open source hoe wordt gegarandeerd dat er een slechtwillende geen malware upload in de broncode?

[Robbierut4]

KeePassium werkt ook op de iPhone met gezichtsherkenning en automatisch invullen van velden. Ook al is het open source hoe wordt gegarandeerd dat er een slechtwillende geen malware upload in de broncode?

Niet. Zie bijvoorbeeld alles rondom XZ utils, wat bewust is overgenomen door iemand om een backdoor in te bouwen.

Daarnaast is open source uberhaupt niet zaligmakend. In theorie kan iedereen zoeken naar bugs. Maar zoals bij log4j gezien is, dat is geen garantie dat mensen het daadwerkelijk doen.

[Sebazzz]

Keepass (niet Keepassium) heeft een aantal keer geld gehad van de EU om een security audit te doen.

[Robbierut4]

Dat is leuk. Maar ook die zijn niet onfeilbaar. En elke nieuwe commit heeft de potentie om problemen te introduceren.

Keepass zal vast beter gecontroleerd worden dan log4j, maar OP vroeg om garanties, die zijn er gewoon niet.

[Sebazzz]

Security audits en certificeringen zijn altijd een momentopname. Dat geldt net zo goed voor audits die gedaan worden voor commerciele software. Het wordt om de X tijd gecontroleerd. Intussen kunnen er allemaal problemen inzitten. Ik begrijp niet wat voor punt je probeert te maken. 100% zekerheden heb je nergens en nooit, je hebt alleen ergens relatief meer zekerheid dan elders.

[RobertMe]

Iets als bij XZ is gebeurt is denk ik wel makkelijker bij een open source project dan bij een commercieel bedrijf, zeker als dat commerciële bedrijf iets maakt dat door miljoenen gebruikt wordt (dan gaat het vaak niet om een ZZPer, of nouja, één man personeel).

Sure, het kan zeer zeker dat een kwaadwillende (uit overheid, hackers, ...) een bedrijf infiltreert. Maar het is wel lastiger. Immers heb je een "echte" identiteit nodig, die bv ook gebruikt kan worden voor verloning (en ja, daarmee is vast ook te frauderen / ..., meer als het overheid geïnitieerd / gesponsord is). Daarnaast zal denk ik bij een klein bedrijf een vorm van fysiek contact vaker aan de orde zijn (al is het maar om een handtekening op papier te zetten). Wat fraude ook "lastiger" maakt.

Terwijl bij XZ de kwaadwillende alleen online contact had, wellicht aan de andere kant van de wereld woonde, en alleen onder een pseudoniem "leeft". Gecombineerd met een originele maintainer die door prive redenen minder "betrokken " was bij het project. Het was een makkelijk doelwit, dat vanaf elke plek op de wereld met een bepaalde vorm van social engineering te misbruiken was. Bij een commercieel bedrijf is dat gewoon lastig. Bij welk bedrijf is de eigenaar, met maar 1 man personeel, niet betrokken en draagt alle (technische) verantwoordelijkheden over, zonder enige vorm van toezicht? En dan ook nog aan iemand die zover te herleiden aan de andere kant van de wereld leeft, en zonder face-to-face contact, "zelfs" niet videobellen, maar alleen GitHub en mail (IIRC, maar wellicht ook IRC ).

En ja, er zijn zeker bedrijven waarbij iedereen zonder toezicht "naar master kan committen" (als in: geen pull/merge requests etc). Maar dat moet dan ook nog eens gecombineerd met "de medewerker nog nooit gezien hebben, zelfs niet inneen videogesprek". En zo wordt het steeds meer uitzonderlijk, voor een bedrijf. Terwijl het bij open source wel meer gangbaar is. Dat je puur door wat regelmatiger PRs te doen "vertrouwen kunt kopen". En dat hoeft niet eens in een "9 to 5" context te zijn. Elke het kan ook elke maand een PR zijn om een (vertrouwens)band op te bouwen.

[Nickname55]

het kan zeer zeker dat een kwaadwillende (uit overheid, hackers, ...) een bedrijf infiltreert

Dat hoeft niet. Een bestaande werknemer kan omgekocht worden. Of gechanteerd worden. Of hij kan op eigen houtje gaan opereren. Bij XZ was het volgens mij ook iemand die al heel lang aan dat project werkte. En die in beginsel niet aan dat project is gaan werken om later een backdoor in te gaan bouwen. Voor zover ik weet.

[Robbierut4]

En die in beginsel niet aan dat project is gaan werken om later een backdoor in te gaan bouwen. Voor zover ik weet.

We zullen het nooit precies weten, gezien die "persoon" sindsdien verdwenen is en het aannemelijk lijkt dat het nooit een echt persoon was.

Wat wel een kleine tip van de sluier licht is dat hun eerste commit was om een bepaalde functie te vervangen door een andere, minder veilige functie.

Dus de algemene aanname is dat het wel degelijk vanaf het begin de bedoeling was om een populair pakket over te nemen en daar een backdoor in te bouwen.

[JeroenED]

Waarmee je nog steeds niet kan verzekeren dat er geen security vulnerbilities inzitten. Je kan er nu alleen een bestellen en moet niet op je community vertrouwen om het te doen. Alles hangt af van de scope en grondig er te werk is gegaan.

[The Zep Man]

Garanties krijg je niet, opensource of gesloten/commercieel.

[dasiro]

het is niet omdat iets open source is dat daarom iedereen zomaar code kan bijdragen, wel dat zomaar iedereen kan zoeken naar bugs en malware in de code.

[Marsmillo]

Welke versie van is nu het meest aan te raden?
Keepass 1.x, Keepass 2.x, Keepass XC, …

[William_H]

1 en 2 gaat over de database versie en heeft niks te maken met de gebruikte software.
Keepass XC is ook een goed stuk software.

[mcmd]

Ik gebruik ze allebei, op windows Keepass 2.x en op de Mac gebruik ik Keepass XC met dezelfde database.
Zelf heb ik een voorkeur voor het origineel, zo gebruik ik bijvoorbeeld veel attributen die je kunt toevoegen en vind dat deel net wat lekkerder werken met Keepass. Op de Mac kun je dat niet direct gebruiken (en ik heb geen zin om met een omweg het werkend te krijgen), dus ook Keepass XC.

[Drobanir]

Persoonlijk zou ik voor on-line password manager gaan (ik gebruik Vaultwarden), maar als ik een off0line manager zou nemen raad ik KeePassXC aan. Reden.

[lenwar]

https://keepass.info/compare.html

KeePass 1 zou ik per definitie niet gebruiken. Die ondersteunt niet de sterkste/modernste versleutelingsmethoden. En is ook minder 'feature-rijk'.

Vanuit een technisch oogpunt is het primaire verschil dat versie 2.x op .NET gebaseerd is, waardoor het makkelijker is om meer features toe te voegen. (1.x hebben ze dacht ik 'native' geschreven en moeten ze dus echt alles zelf bouwen ipv dat ze tegen .NET aan kunnen praten.

[litebyte]

Fijne veilige 'sleutelhanger' en makkelijk in gebruik er is overigens ook keypass XC dat voornamelijk wat moderner oogt.

[William_H]

@Drobanir Ik denk dat een nieuw screenshot wel toepasselijk is. Volgens mij is deze uit de tijd van Windows 7, wat niet meer ondersteund wordt.

[Drobanir]

Goed idee!

[Zer0]

Voor de gein even gedownload, al een tijd niet meer naar gekeken, maar zo anders ziet het er niet uit, alleen de window decoraties zijn anders, en die zijn vaak afhankelijk van de gebruikte windowmanager..

[William_H]

Ik ging uit van wat ik op de site van de software zag.