Релиз KeePass 2.54: Улучшения безопасности

Доминик Райхл (Dominik Reichl), ведущий разработчик менеджера паролей KeePass представил новую версию KeePass 2.54. Обновление улучшает безопасность во многих аспектах и снижает вектор потенциальных атак по сравнению с предыдущими версиями программы.

Скачать новую версию KeePass можно на нашем сайте. Установщик автоматически обновит текущую версию менеджера паролей.

Скачать KeePass Password Safe 2.54

Пользователям KeePass, которые использовали настройки переопределения URL-адресов, рекомендуется сделать снимок экрана или записать эти параметры, так как эти они будут отключены в новой версии, если не хранятся в файле принудительной конфигурации.

KeePass 2.54: Что нового

В новой версии KeePass значительно улучшена функциональность экспорта. Еще в феврале Федеральная команда по кибербезопасности Бельгии выпустила предупреждение относительно функции экспорта программы.

Было установлено, что любое лицо, у которого есть доступ к файлу конфигурации KeePass, может экспортировать всю базу паролей без подтверждения пользователя.

В KeePass 2.53.1 при экспорте данных был добавлен запрос мастер-пароля.

В KeePass 2.54 безопасность этой операции дополнительно повышена. Теперь для экспорта требуется наличие флага политики «экспорт» в «большинстве диалоговых окон отчетов», а также ввод мастер-пароля. Изменился дизайн диалоговых окон подтверждения экспорта. Традиционная кнопка OK была заменена кнопкой Подтвердить экспорт, чтобы действие было более понятным, а баннеры получили новый фоновый цвет.

В диалоговых окнах отчетов пароли и другие конфиденциальные данные теперь отображаются в виде звездочек. На панели инструментов появилась новая кнопка для переключения скрытия информации.

Еще одно важное изменение добавляет несколько важных параметров в файл принудительной конфигурации программы. Параметры принудительной конфигурации имеют приоритет над изменениями, внесенными в глобальные или локальные файлы конфигурации приложения.

Эта функция предназначена в первую очередь для системных администраторов, которые хотят принудительно применить определенные настройки, но ее также можно использовать для защиты от манипуляций со стороны третьих лиц.

Райхл отмечает, что триггеры, глобальные переопределения URL-адресов, профили генератора паролей «и еще несколько настроек» в KeePass 2.54 хранятся в файле принудительной конфигурации, что может привести к следующим последствиям:

• Триггеры могут использоваться для автоматизации определенных задач в KeePass. Если триггеры не были сохранены в файле конфигурации в предыдущих версиях, то система триггеров будет отключена. Чтобы начать их использование, необходимо выбрать Сервис > Триггеры… и установить флажок Использовать триггерную систему.
• Глобальные переопределения URL отключаются в KeePass, если они не сохранены в принудительной конфигурации. Их можно включить в разделе Сервис > Настройки > Интеграция > Переопределить URL...
• Профили генератора паролей теперь также сохраняются в принудительной конфигурации. Чтобы продолжить их использование, выберите Сервис > Создать пароль > кнопка Щит, внесите изменения и активируйте кнопку Сохранить текущие установки как профиль.

Информация для пользователей портативной версии и пользователей, которые уже использовали файл принудительной конфигурации, доступна на официальном веб-сайте.

В KeePass 2.54 исправлена проблема безопасности, которая была раскрыта в прошлом месяце. Посторонние лица, имеющие доступ к дампам памяти, могли восстановить все символы, мастер-пароля, кроме первого, что делало идентификацию пароля тривиальной задачей. Обновление до версии KeePass 2.54 устраняет эту угрозу.