Audit KeePass: nessuna vulnerabilità di sicurezza critica rilevata
- Categoria: Sicurezza
Nel giugno 2016 abbiamo segnalato che KeePass, un popolare gestore di password, stava ricevendo un controllo di sicurezza dal progetto EU Free and Open Source Software Auditing (EU-FOSSA) della Commissione Europea.
UE-FOSSA è un progetto pilota per creare un processo formale per contribuire alle revisioni della sicurezza del software alle comunità open source.
Il progetto ha creato un inventario delle soluzioni open source utilizzate dalla Commissione, pubblicato studi sulle pratiche di sicurezza di 14 comunità open source e ha esaminato due popolari soluzioni open source.
KeePass è un gestore di password creato per Windows, funzionante anche su Linux, che utilizza un database crittografato archiviato localmente.
Il programma viene fornito con un impressionante elenco di opzioni. Puoi abilitare un file collegamento di accesso globale per esempio, o migliorare la sicurezza di KeePass modificando impostazioni.
Il gestore di password supporta plugin e fork grazie alla sua natura open source. I plugin consentono agli utenti di estendere le funzionalità del programma, ad esempio integrandolo nei browser Web o sincronizzando il database utilizzando i provider di archiviazione online.
Audit KeePass
Il team di ricerca ha verificato il codice di KeePass 1.31 e non di KeePass 2.34. Sebbene KeePass 2.34 non sia menzionato da nessuna parte nel rapporto, sembra ragionevole che KeePass 2.34 si comportasse in modo simile in un controllo del codice.
KeePass 1.x è la versione precedente del gestore di password. La versione non richiede Microsoft .NET ma manca di funzionalità che solo KeePass 2.x viene fornito con. Ad esempio, non supporta il collegamento di KeePass all'account utente di Windows o alle password monouso. Trovi un confronto completo dell'edizione tavolo qui .
L'audit KeePass ha esaminato tutte le 84622 righe di codice e non ha rilevato problemi critici o ad alto rischio nel codice. Tuttavia, ha trovato cinque problemi con valutazione media, tre con valutazione bassa e sei con solo valutazione.
Non sono stati rilevati risultati critici o ad alto rischio. Tra i risultati rimanenti, sono stati rilevati cinque risultati a medio e tre a basso rischio. I restanti sei erano di natura informativa.
I problemi rilevati dai ricercatori sono dettagliati nel rapporto di audit che puoi scaricare dal pagina delle consegne del progetto sul sito web EU-Fossa. Lì trovi elencato anche l'audit di sicurezza di Apache (guarda sotto WP6: revisione del codice di esempio nella parte inferiore della pagina).
Parole di chiusura
KeePass è un eccellente, sicuro gestore di password per Windows. I risultati dell'audit del codice suggeriscono che si tratta di un programma ben progettato senza problemi critici o ad alto rischio.
Ora tu : Quale gestore di password stai utilizzando e perché?