Audyt KeePass: nie znaleziono krytycznych luk w zabezpieczeniach
- Kategoria: Bezpieczeństwo
W czerwcu 2016 r. Informowaliśmy, że KeePass, popularny menedżer haseł, przechodził audyt bezpieczeństwa przez projekt Komisji Europejskiej dotyczący audytu wolnego i otwartego oprogramowania (EU-FOSSA).
EU-FOSSA to pilotażowy projekt mający na celu stworzenie formalnego procesu przesyłania ocen bezpieczeństwa oprogramowania do społeczności open source.
W ramach projektu stworzono wykaz rozwiązań open source używanych przez Komisję, opublikowano badania dotyczące praktyk bezpieczeństwa 14 społeczności open source oraz dokonano przeglądu dwóch popularnych rozwiązań open source.
KeePass to menedżer haseł stworzony dla systemu Windows - działający również w systemie Linux - korzystający z lokalnie przechowywanej zaszyfrowanej bazy danych.
Program zawiera imponującą listę opcji. Możesz włączyć skrót do globalnego logowania na przykład lub poprawić bezpieczeństwo KeePass poprzez modyfikację ustawienia.
Menedżer haseł obsługuje wtyczki i rozwidlenia dzięki swojej otwartej naturze. Wtyczki umożliwiają użytkownikom rozszerzenie funkcjonalności programu, na przykład poprzez integrację z przeglądarkami internetowymi lub synchronizację bazy danych za pomocą dostawców pamięci online.
Audyt KeePass
Zespół badawczy przeprowadził audyt kodu KeePass 1.31, a nie KeePass 2.34. Chociaż KeePass 2.34 nie jest nigdzie wspomniany w raporcie, wydaje się rozsądne, że KeePass 2.34 wypadłby podobnie w audycie kodu.
KeePass 1.x to starsza wersja menedżera haseł. Wersja nie wymaga Microsoft .NET, ale brakuje jej funkcji, z którymi jest dostarczany tylko KeePass 2.x. Nie obsługuje na przykład łączenia KeePass z kontem użytkownika Windows lub jednorazowymi hasłami. Znajdziesz pełne porównanie edycji stół tutaj .
Audyt KeePass przeszedł przez wszystkie 84622 linie kodu i nie znalazł w kodzie żadnych krytycznych lub ryzykownych problemów. Znalazł jednak pięć średnio ocenianych, trzy nisko ocenione i sześć informacji tylko ocenionych.
Nie wykryto żadnych krytycznych ani obarczonych wysokim ryzykiem ustaleń. Wśród pozostałych wyników znaleziono pięć wyników średniego i trzy niskiego ryzyka. Pozostałe sześć miało charakter informacyjny.
Kwestie wykryte przez badaczy są szczegółowo opisane w raporcie z audytu, który można pobrać z witryny strona dostaw projektu na stronie internetowej EU-Fossa. Tam znajduje się również lista audytu bezpieczeństwa Apache (patrz WP6: przykładowy przegląd kodu u dołu strony).
Słowa końcowe
KeePass to doskonały, bezpieczny menedżer haseł dla systemu Windows. Wyniki audytu kodu sugerują, że jest to dobrze zaprojektowany program bez problemów krytycznych lub wysokiego ryzyka.
Teraz ty : Z jakiego menedżera haseł korzystasz i dlaczego?