KeePass è stato (ed è ancora) una solida raccomandazione per gestire le password, ma essendo un progetto open source, col tempo sono emersi clienti alternativi molto interessanti, e uno di questi è KeePassXC. Questo programma non solo può aprire database compatibili con KeePass 2.x, ma possiede anche altre opzioni di sicurezza che vale la pena approfondire.
I gestori di password non stanno attraversando un buon momento, e la ragione è ovvia: sono bersagli prioritari per molti elementi maliziosi là fuori. Ma la storia di oggi inizia con la pubblicazione di CVE-2023-24055, una vulnerabilità associata a KeePass 2.53 e versioni precedenti. Come funziona? KeePass possiede un sistema di trigger che permette all'utente di automatizzare certe azioni. Nei parametri predefiniti, un attaccante con accesso diretto in scrittura al file di configurazione di KeePass può programmare un trigger per esportare le credenziali del database in chiaro e in background senza conferma dell'utente, una volta che il database viene aperto.
Ma il vero conflitto è nato perché Dominik Reichl, sviluppatore di KeePass, non solo ha deciso di contestare la validità del CVE, ma ha anche dichiarato l'equivalente di un «wontfix». Perché? Dal suo punto di vista, se un attaccante ha quel livello di accesso, il sistema è già compromesso e può fare cose molto peggiori. Il dibattito sul forum ufficiale di KeePass è affascinante, con argomenti forti da entrambe le parti, ma la vera domanda è: cosa può fare l'utente? In generale, si menzionano tre strade: passare a KeePass 1.4x che non possiede il sistema di trigger, fare hardening di KeePass con un file di configurazione statico, o cercare un cliente alternativo come KeePassXC.
KeePassXC: gestore di password compatibile con KeePass
KeePassXC si presenta come un fork comunitario di KeePassX, che a sua volta è una port multipiattaforma di KeePass. Non dipendendo molto dal cliente ufficiale, KeePassXC abbandona sia il sistema di trigger che il supporto per i plugin, qualcosa che i suoi sviluppatori rifiutano apertamente. Il programma è disponibile in vari formati, dai tradizionali installer e legacy (per Windows 7 e 8.x), allo store di Windows e all'accesso via Chocolatey / Winget.
Una delle prime cose che mi ha sorpreso di KeePassXC (ma che ha molto senso) è il blocco degli screenshot. Le immagini che stai vedendo qui sono state possibili solo dopo aver aggiunto il modificatore --allow-screencapture nel collegamento. In secondo luogo, inserire la password del database non basta: richiede anche la password o il PIN del profilo utente di Windows prima dell'apertura. Infine, ho trovato un'interfaccia moderna, con supporto per la modalità scura e funzioni che non hanno nulla da invidiare al cliente originale.
Se c'è un dettaglio in più da evidenziare su KeePassXC è che i suoi cicli di aggiornamento non sono frequenti come quelli di KeePass, ma essendo progetti diversi, non è necessario. Personalmente, credo che userò KeePassXC per un paio di settimane. Se la situazione di KeePass virasse verso una direzione più negativa, abbiamo sicuramente un buon sostituto qui.
Sito ufficiale e download: Clicca qui
