Auditoria KeePass: nenhuma vulnerabilidade crítica de segurança encontrada
- Categoria: Segurança
Informamos em junho de 2016 que KeePass, um gerenciador de senhas popular, estava fazendo uma auditoria de segurança pelo projeto de Auditoria de Software Livre e Aberto da Comissão Europeia (EU-FOSSA).
EU-FOSSA é um projeto piloto para criar um processo formal para contribuir com análises de segurança de software para comunidades de código aberto.
O projeto criou um inventário de soluções de código aberto usadas pela Comissão, publicou estudos sobre as práticas de segurança de 14 comunidades de código aberto e revisou duas soluções de código aberto populares.
KeePass é um gerenciador de senhas criado para Windows - também trabalhando no Linux - que usa um banco de dados criptografado armazenado localmente.
O programa vem com uma lista impressionante de opções. Você pode habilitar um atalho de login global por exemplo, ou melhorar a segurança do KeePass modificando configurações.
O gerenciador de senhas oferece suporte a plug-ins e bifurcações graças à sua natureza de código aberto. Os plug-ins permitem que os usuários estendam a funcionalidade do programa, por exemplo, integrando-o a navegadores da web ou sincronizando o banco de dados usando provedores de armazenamento online.
Auditoria KeePass
A equipe de pesquisa auditou o código do KeePass 1.31, e não do KeePass 2.34. Embora o KeePass 2.34 não seja mencionado em nenhum lugar do relatório, parece razoável que o KeePass 2.34 tenha um desempenho semelhante em uma auditoria de código.
KeePass 1.x é a versão herdada do gerenciador de senhas. A versão não requer o Microsoft .NET, mas carece de recursos que apenas o KeePass 2.x vem com. Ele não oferece suporte para vincular KeePass à conta de usuário do Windows ou senhas de uso único, por exemplo. Você encontra uma comparação de edição completa mesa aqui .
A auditoria KeePass percorreu todas as 84622 linhas de código e não encontrou problemas críticos ou de alto risco no código. No entanto, encontrou cinco questões de classificação média, três de classificação baixa e seis informações apenas classificadas.
Nenhum achado crítico ou de alto risco foi detectado. Entre os achados restantes, cinco resultados de médio e três de baixo risco foram detectados. Os restantes seis são de natureza informativa.
Os problemas encontrados pelos pesquisadores estão detalhados no relatório de auditoria que você pode baixar no página de entregas de projetos no site EU-Fossa. Lá você encontra listada a auditoria de segurança do Apache também (veja em WP6: amostra de revisão de código próximo ao final da página).
Palavras de Encerramento
KeePass é um gerenciador de senhas excelente e seguro para Windows. Os resultados da auditoria de código sugerem que é um programa bem projetado, sem problemas críticos ou de alto risco.
Agora você : Qual gerenciador de senhas você está usando e por quê?