KeePass od dawna był (i nadal jest) solidną rekomendacją do zarządzania hasłami, ale jako projekt open source, z biegiem czasu pojawiły się bardzo ciekawe alternatywne klienty, a jednym z nich jest KeePassXC. Program ten nie tylko otwiera bazy danych zgodne z KeePass 2.x, ale również oferuje inne opcje bezpieczeństwa, które warto bliżej poznać.
Menedżery haseł nie przeżywają obecnie najlepszych chwil, a powód jest oczywisty: są priorytetowym celem dla wielu złośliwych elementów w sieci. Ale dzisiejsza historia zaczyna się od publikacji CVE-2023-24055, luki związanej z KeePass 2.53 i wcześniejszymi wersjami. Jak działa ta luka? KeePass posiada system wyzwalaczy (triggers), który pozwala użytkownikowi automatyzować pewne czynności. W domyślnych parametrach atakujący z bezpośrednim dostępem do zapisu pliku konfiguracyjnego KeePass może zaprogramować wyzwalacz, aby poświadczenia bazy danych zostały wyeksportowane w postaci zwykłego tekstu w tle, bez potwierdzenia użytkownika, po jej otwarciu.
Jednak prawdziwy konflikt powstał, gdy Dominik Reichl, programista KeePass, nie tylko postanowił zakwestionować ważność CVE-2023-24055, ale także zadeklarował coś w rodzaju „wontfix”. Dlaczego? Z jego punktu widzenia, jeśli atakujący ma taki poziom dostępu, system jest już naruszony i może zrobić znacznie gorsze rzeczy. Debata na oficjalnym forum KeePass jest fascynująca, z mocnymi argumentami po obu stronach, ale prawdziwe pytanie brzmi: co może zrobić użytkownik? Ogólnie rzecz biorąc, wspomina się trzy ścieżki: przejście na KeePass 1.4x, który nie posiada systemu wyzwalaczy, wykonanie hardeningu KeePass za pomocą statycznego pliku konfiguracyjnego, lub poszukanie alternatywnego klienta, takiego jak KeePassXC.
KeePassXC: menedżer haseł zgodny z KeePass
KeePassXC jest społecznościowym forkiem KeePassX, który z kolei jest wieloplatformowym portem KeePass. Nie polegając tak bardzo na oficjalnym kliencie, KeePassXC rezygnuje zarówno z systemu wyzwalaczy, jak i wsparcia dla wtyczek, co jego twórcy całkowicie odrzucają. Program jest dostępny w wielu formatach, od tradycyjnych instalatorów i wersji legacy (dla Windows 7 i 8.x), po Sklep Windows oraz dostęp przez Chocolatey / Winget.
Jedną z pierwszych rzeczy, które mnie zaskoczyły w KeePassXC (ale ma to sens) jest blokowanie zrzutów ekranu. Obrazy, które tu widzisz, były możliwe dopiero po dodaniu parametru --allow-screencapture w skrócie. Po drugie, wpisanie hasła do bazy danych nie wystarcza: program również prosi o hasło lub PIN profilu użytkownika w systemie Windows przed jego otwarciem. Wreszcie znalazłem nowoczesny interfejs z obsługą trybu ciemnego i funkcjami, które nie ustępują oryginalnemu klientowi.
Jeśli chodzi o szczegóły, KeePassXC ma mniej częste cykle aktualizacji niż KeePass, ale ponieważ są to różne projekty, nie muszą być one tak częste. Osobiście zamierzam używać KeePassXC przez kilka tygodni. Jeśli sytuacja KeePass skieruje się w bardziej negatywną stronę, zdecydowanie mamy tu dobrego następcę.
Oficjalna strona i pobieranie: Kliknij tutaj
