ביקורת KeePass: לא נמצאו פגיעויות אבטחה קריטיות
- קטגוריה: בִּטָחוֹן
דיווחנו בחודש יוני 2016 כי KeePass, מנהל סיסמאות פופולרי, קיבל ביקורת אבטחה על ידי פרויקט ביקורת תוכנה של האיחוד האירופי בחינם וקוד פתוח (EU-FOSSA).
האיחוד האירופי-FOSSA הוא פרויקט פיילוט ליצירת תהליך רשמי לתרומת ביקורות אבטחת תוכנה לקהילות קוד פתוח.
הפרויקט יצר מלאי של פתרונות קוד פתוח ששימשה את הנציבות, פרסם מחקרים על נוהלי האבטחה של 14 קהילות קוד פתוח וסקר שני פתרונות פופולריים בקוד פתוח.
KeePass הוא מנהל סיסמאות שנוצר עבור Windows - עובד גם על לינוקס - המשתמש בבסיס נתונים מוצפן המאוחסן באופן מקומי.
התוכנית כוללת רשימת אפשרויות מרשימה. אתה יכול לאפשר קיצור דרך כניסה גלובלי - - למשל, או לשפר את האבטחה של KeePass על ידי שינוי הגדרות.
מנהל הסיסמאות תומך בתוספים ומזלגות הודות לאופי הקוד הפתוח. תוספים מאפשרים למשתמשים להרחיב את הפונקציונליות של התוכנית, למשל על ידי שילובם בדפדפני האינטרנט או סינכרון בסיס הנתונים באמצעות ספקי אחסון מקוונים.
ביקורת KeePass
צוות המחקר ביצע ביקורת על הקוד של KeePass 1.31, ולא של KeePass 2.34. בעוד ש- KeePass 2.34 לא מוזכר בשום מקום בדוח, נראה כי סביר ש- KeePass 2.34 תעבור באופן דומה בביקורת קוד.
KeePass 1.x היא הגרסה הישנה של מנהל הסיסמאות. הגרסה אינה דורשת Microsoft .NET אך חסרה לה תכונות שרק KeePass 2.x נשלחת איתן. זה לא תומך בקישור KeePass לחשבון המשתמש של Windows או סיסמאות חד פעמיות למשל. אתה מוצא השוואה במהדורה מלאה שולחן כאן .
ביקורת KeePass עברה את כל 84622 שורות הקוד ולא מצאה בעיות קריטיות או בסיכון גבוה בקוד. עם זאת, נמצאו חמישה דירוגים בינוניים, שלושה מדורגים נמוכים ושישה מידע בלבד עם דירוג של בעיות.
לא נמצאו ממצאים קריטיים או בעלי סיכון גבוה. מבין הממצאים שנותרו, התגלו חמש תוצאות בסיכון בינוני ושלוש נמוך. ששת הנותרים היו בעלי אופי אינפורמטיבי.
הסוגיות שנמצאו על ידי החוקרים מפורטות בדו'ח הביקורת שתוכל להוריד מה עמוד משלוחי פרויקטים באתר האיחוד האירופי-פוסה. שם תמצאו גם את ביקורת האבטחה של אפאצ'י (עיין תחת WP6: סקירת קוד לדוגמה בסמוך לתחתית העמוד).
מילות סגירה
KeePass הוא מנהל סיסמאות מעולה, מאובטח עבור Windows. תוצאות ביקורת הקוד מרמזות כי מדובר בתוכנית מעוצבת היטב ללא בעיות סיכון קריטי או גבוה.
עכשיו אתה : באיזה מנהל סיסמאות אתה משתמש ומדוע?