KeePass a été (et est toujours) une recommandation solide pour gérer les mots de passe, mais étant un projet open source, des clients alternatifs très intéressants ont vu le jour au fil du temps, et l'un d'eux est KeePassXC. Ce programme peut non seulement ouvrir des bases de données compatibles avec KeePass 2.x, mais il possède également d'autres options de sécurité qui méritent d'être étudiées de plus près.
Les gestionnaires de mots de passe ne traversent pas une bonne période, et la raison est évidente : ils sont des cibles prioritaires pour de nombreux éléments malveillants à l'extérieur. Mais l'histoire d'aujourd'hui commence avec la publication de CVE-2023-24055, une vulnérabilité associée à KeePass 2.53 et versions antérieures. Comment fonctionne la vulnérabilité ? KeePass dispose d'un système de déclencheurs ou triggers qui permet à l'utilisateur d'automatiser certaines actions. Dans ses paramètres par défaut, un attaquant avec un accès en écriture directe au fichier de configuration de KeePass peut programmer un déclencheur pour que les identifiants de la base de données soient exportés en clair et en arrière-plan sans confirmation de l'utilisateur, une fois celle-ci ouverte.
Mais le véritable conflit est survenu parce que Dominik Reichl, développeur de KeePass, a non seulement décidé de contester la validité du CVE, mais a également déclaré l'équivalent d'un « wontfix ». Pourquoi ? De son point de vue, si un attaquant dispose de ce niveau d'accès, le système est déjà compromis et peut faire des choses bien pires. Le débat sur le forum officiel de KeePass est fascinant, avec des arguments très solides des deux côtés, mais la vraie question est : que peut faire l'utilisateur ? En général, trois voies sont mentionnées : passer à KeePass 1.4x qui ne possède pas le système de déclencheurs, durcir KeePass avec un fichier de configuration statique, ou chercher un client alternatif comme KeePassXC.
KeePassXC : gestionnaire de mots de passe compatible avec KeePass
KeePassXC se présente comme un fork communautaire de KeePassX, qui est lui-même un port multiplateforme de KeePass. En ne dépendant pas trop du client officiel, KeePassXC laisse de côté à la fois le système de déclencheurs et le support des plugins, ce que ses développeurs rejettent pleinement. Le programme est disponible en plusieurs formats, allant des installateurs traditionnels et legacy (pour Windows 7 et 8.x), jusqu'au Windows Store et l'accès via Chocolatey / Winget.
L'une des premières choses qui m'a surpris à propos de KeePassXC (mais qui a beaucoup de sens) est le blocage des captures d'écran. Les images que vous voyez ici n'ont été possibles qu'après avoir ajouté le modificateur --allow-screencapture au raccourci. Deuxièmement, saisir le mot de passe de la base de données ne suffit pas : il demande également le mot de passe ou le PIN du profil utilisateur Windows avant son ouverture. Et enfin, j'ai trouvé une interface moderne, avec support du mode sombre, et des fonctions qui n'ont rien à envier au client original.
S'il y a un détail de plus à souligner sur KeePassXC, c'est que ses cycles de mise à jour ne sont pas aussi fréquents que ceux de KeePass, mais comme il s'agit de projets différents, ils n'ont pas à l'être. Personnellement, je pense que je vais utiliser KeePassXC pendant quelques semaines. Si la situation de KeePass évolue dans une direction plus négative, nous avons certainement un bon remplaçant ici.
Site officiel et téléchargement : Cliquez ici.
