O KeePass tem sido (e ainda é) uma recomendação sólida para gerenciar senhas, mas por ser um projeto open source, com o passar do tempo surgiram clientes alternativos muito interessantes, e um deles é o KeePassXC. Este programa não só consegue abrir bancos de dados compatíveis com KeePass 2.x, como também possui outras opções de segurança que vale a pena conhecer mais de perto.
Os gerenciadores de senhas não estão passando por um bom momento, e a razão é óbvia: são alvos prioritários para muitos elementos maliciosos por aí. Mas a história de hoje começa com a publicação do CVE-2023-24055, uma vulnerabilidade associada ao KeePass 2.53 e versões anteriores. Como funciona? O KeePass possui um sistema de gatilhos (triggers) que permite ao usuário automatizar certas ações. Em seus parâmetros padrão, um atacante com acesso direto de escrita ao arquivo de configuração do KeePass pode programar um gatilho para que as credenciais do banco de dados sejam exportadas em texto puro, em segundo plano, sem confirmação do usuário, uma vez que a base seja aberta.
Mas o verdadeiro conflito surgiu porque Dominik Reichl, desenvolvedor do KeePass, não apenas decidiu contestar a validade do CVE, como também declarou o equivalente a um "won't fix". Por quê? Do seu ponto de vista, se um atacante tem esse nível de acesso, o sistema já está comprometido e pode fazer coisas muito piores. O debate no fórum oficial do KeePass é fascinante, com argumentos muito fortes de ambos os lados, mas a verdadeira pergunta é: o que o usuário pode fazer? No geral, são citados três caminhos: baixar para KeePass 1.4x, que não possui o sistema de gatilhos, realizar hardening no KeePass com um arquivo de configuração estático, ou buscar um cliente alternativo como o KeePassXC.
KeePassXC: o gerenciador de senhas compatível com KeePass
O KeePassXC se apresenta como um fork comunitário do KeePassX, que por sua vez é um port multiplataforma do KeePass. Ao não depender tanto do cliente oficial, o KeePassXC deixa de lado tanto o sistema de gatilhos quanto o suporte a plugins, algo que seus desenvolvedores rejeitam de forma veemente. O programa está disponível em diversos formatos, desde instaladores tradicionais e legacy (para Windows 7 e 8.x), até a loja do Windows e acesso via Chocolatey/Winget.
Uma das primeiras coisas que me surpreendeu no KeePassXC (mas que faz muito sentido) é o bloqueio de screenshots. As imagens que você vê aqui só foram possíveis depois de adicionar o modificador --allow-screencapture no atalho. Em segundo lugar, digitar a senha do banco de dados não é suficiente: também é solicitada a senha ou o PIN do perfil do usuário no Windows antes da abertura. E por fim, encontrei uma interface moderna, com suporte a modo escuro e funções que não ficam devendo nada ao cliente original.
Se há um detalhe a mais para destacar sobre o KeePassXC é que seus ciclos de atualização não são tão frequentes quanto os do KeePass, mas por se tratar de projetos diferentes, também não precisam ser. No meu caso, acredito que vou usar o KeePassXC por algumas semanas. Se a situação do KeePass girar para uma direção mais negativa, definitivamente temos um bom substituto aqui.
Site oficial e download: Clique aqui.
