KeePass-audit: geen kritieke beveiligingsproblemen gevonden
- Categorie: Veiligheid
We meldden in juni 2016 dat KeePass, een populaire wachtwoordbeheerder, kreeg een beveiligingsaudit door het EU Free and Open Source Software Auditing-project van de Europese Commissie (EU-FOSSA).
EU-FOSSA is een proefproject om een formeel proces te creëren voor het bijdragen van softwarebeveiligingsreviews aan open source-gemeenschappen.
Het project creëerde een inventaris van open source-oplossingen die door de Commissie worden gebruikt, publiceerde studies naar de beveiligingspraktijken van 14 open source-gemeenschappen en beoordeelde twee populaire open source-oplossingen.
KeePass is een wachtwoordbeheerder gemaakt voor Windows - die ook op Linux werkt - die een lokaal opgeslagen gecodeerde database gebruikt.
Het programma wordt geleverd met een indrukwekkende lijst met opties. U kunt een globale login-snelkoppeling bijvoorbeeld, of de beveiliging van KeePass verbeteren door instellingen.
De wachtwoordbeheerder ondersteunt plug-ins en forks dankzij het open source karakter. Met plug-ins kunnen gebruikers de functionaliteit van het programma uitbreiden, bijvoorbeeld door het te integreren in webbrowsers of door de database te synchroniseren met behulp van online opslagproviders.
KeePass-audit
Het onderzoeksteam controleerde de code van KeePass 1.31 en niet van KeePass 2.34. Hoewel KeePass 2.34 nergens in het rapport wordt genoemd, lijkt het redelijk dat KeePass 2.34 hetzelfde zou doen in een code-audit.
KeePass 1.x is de oude versie van de wachtwoordbeheerder. De versie vereist geen Microsoft .NET, maar mist functies waarmee alleen KeePass 2.x wordt geleverd. Het biedt geen ondersteuning voor het koppelen van KeePass aan het Windows-gebruikersaccount of eenmalige wachtwoorden bijvoorbeeld. U vindt een vergelijking van de volledige editie tafel hier .
De KeePass-audit ging door alle 84622 coderegels en vond geen kritieke of risicovolle problemen in de code. Het vond echter vijf gemiddeld beoordeelde, drie laag gewaardeerde en zes informatie alleen beoordeelde problemen.
Er zijn geen kritische bevindingen of bevindingen met een hoog risico geconstateerd. Van de overige bevindingen werden vijf resultaten met een gemiddeld en drie met een laag risico gedetecteerd. De overige zes waren informatief van aard.
De problemen die door de onderzoekers zijn gevonden, worden gedetailleerd beschreven in het auditrapport dat u kunt downloaden van het pagina met projectleveringen op de website van EU-Fossa. Daar vindt u ook een lijst met de Apache-beveiligingsaudit (kijk onder WP6: voorbeeldcodebeoordeling onder aan de pagina).
Afsluitende woorden
KeePass is een uitstekende, veilige wachtwoordbeheerder voor Windows. De resultaten van de code-audit suggereren dat het een goed ontworpen programma is zonder kritieke of risicovolle problemen.
Nu jij : Welke wachtwoordbeheerder gebruikt u en waarom?