Newsgroup: it.comp.sicurezza.varie
Titolo: [KeePass} Importante aggiornamento di sicurezza

Dato che immagino diversi, oltre al sottoscritto, usano KeePass come 
password manager, mi permetto di segnalare che l'ultimo aggiornamento 
dello stesso risolve alcuni fastidiosi problemi di sicurezza emersi 
negli ultimi mesi.
 
https://www.ghacks.net/2023/06/04/keepass-password-manager-update-improves-security/
 
 
Pagina web del sito ufficiale:
https://keepass.info/news/n230603_2.54.html
 
 
 
Occhio: x-post e followup-to impostati (le risposte sono indirizzate 
automaticamente su it.comp.sicurezza.varie)


Interessante ma ... è normale che quando si clicca per il download 
appaia una pagina con simboli che prendono una schermata e mezzo e 
scorrendo (parecchio) si legga che il programma è "Brought to you by: 
dreichl" ?


Altra domanda: dicono che i problemi siano sulle versioni 2.x; quelle 
1.x sono più sicure?
Grazie se qualcuno mi sa rispondere.

 si legga che il programma è "Brought to you by: dreichl" ?
 
???? no non è normale :-)
 
Dove clicchi su Download? La pagina di download del sito ufficiale di 
KeePass è sempre stata questa:
 
https://keepass.info/download.html
 
 
Dove è possibile scegliere le versioni installabili o le portatili. 
Cloccando su Download Now di quella scelta, si viene reindirizzati su 
sourceforge.net
 che fa partire in automatico il conto alla rovescia di 
5 secondi per poi iniziare il download.
 
https://sourceforge.net/projects/keepass/files/KeePass%202.x/2.54/KeePass-2.54-Setup.exe/download
 


Dopo la tua risposta ho provato a farlo con Firefox e ha funzionato tutto.
Normalmente però uso Slimjet e, cliccando sul download della pagina 
ufficiale, mi si apriva una pagina così:
 
https://postimg.cc/SjLg9PcW
 
 
E scorrendo, pare quasi infinita con stelle etc e quella scritta che dicevo.

 Dato che immagino diversi,
 
si ma OT

Rispondo qui sotto a Guglielmo

Grazie!
Lo scarico subito

 E scorrendo, pare quasi infinita con stelle etc e quella scritta che dicevo.
 
Boh... si vede che quel browser va nel pallone sul sito Sourceforge, 
non riesco a trovare altra spiegazione :-)


sourceforge è storico ma osceno sotto tutti i punti di vista, non capisco 
chi continua ad usarlo... capirei mancassero le alternative.

 negli ultimi mesi.
 
in realtà "fastidioso" è un po' un eufemismo. 
https://github.com/vdohney/keepass-password-dumper
 
pare insomma che la master password sia scovabile in chiaro nel disco, nel 
pagefile/swap piuttosto che nei crash dump. 
quindi non basta aggiornare ma anche cambiare la master password. 


La master password, non è insita nel file database?

 La master password, non è insita nel file database?
 
 
La digitiamo ogni volta che dobbiamo caricare il database per operarvi e 
può finire memorizzata ed eventualmente ritrovabile da altre parti, 
certamente non facile per chiunque. Ovviamente non dovrebbe essere così 
ma fino all'altro ieri accadeva.
 
Lo sviluppatore, da quello che ho capito in queste settimane,  se l'è 
presa comoda nel correggere definitivamente questo bug perché a suo dire 
un computer dove avviene la scoperta della password è un computer già 
compromesso sulla sicurezza. Ad ogni modo ha poi accelerato i tempi, 
aveva promesso la correzione definitiva con un aggiornamento in  luglio, 
l'ha fatto ai primi di giugno, segno che tanto leggera come cosa non lo 
era neanche per lui.
 


Ok, grazie.

 La master password, non è insita nel file database?
 
certo, ma evidentemente il programma se la tiene nell'heap in memoria e in 
chiaro durante l'esecuzione e quando la memoria viene scaricata nello swap 
piuttosto che in un dump finisce lì.
chiaramente puoi anche fixare il programma, ma se in passato hai usato una 
versione con questa vulnerabilità avrà lasciato tracce.

 compromesso sulla sicurezza. 
 
bah, mi sembra un ragionamento bizzarro. tanto vale scrivere le password 
in un file di testo e in chiaro, un computer dove un malfattore lo può 
leggere è un computer già compromesso sulla sicurezza.


Ca***o avevo una bella master password che ricordavo, mi scoccerebbe 
doverne studiare un'altra. :-(

 doverne studiare un'altra. 🙁
 
 
Cancella gli eventuali file dump della memoria di Windows, se presenti. 
Elimina il file dell'ibernazione e quello di pagefile, riavvia il 
computer, rimetti tutto come prima tranne ovviamente i file di dump.
 
Puoi tenere la vecchia password a meno che qualcuno che ha avuto accesso 
fisico al computer ne te l'ha già ciullata.


Accesso fisico, impossibile, lo uso solo io.
L'ibernazione l'ho cancellata, uso solo la sospensione.
Adesso mi vado a studiare i file dump :-)
 

 Adesso mi vado a studiare i file dump
 
Per far prima puoi usare anche uno dei programmi di "pulizia disco" che 
solitamente fanno anche questo. Ad esempio io uso Wise Disk Cleaner che 
tra le tante voci ha: Rapporti dei crash di sistema. Anche se non ne 
trova mai perché non mi va mai in crash :-)
 
 
Oppure:
 
https://www.windowscentral.com/how-clear-system-error-memory-dump-files-windows-10
 


Grazie; anche se ... uso ancora W7 :-)

 Grazie; anche se ... uso ancora W7 :-)
 
 
Ma ne compiaccio :-), le operazioni da fare sono le stesse: eliminare il 
file di paging (disattivandolo temporaneamente), eliminare il file 
dell'ibernazione (disattivandola se attiva), eliminare i file di dump 
della memoria di Windows. Anche su Windows 7.
 
Oppure cancelli solo gli eventuali file di dump (se presenti)  e lasci 
stare ibernazione e paging  aspettando che vengano riscritti dal 
sistema, perché non restano immutabili. Se come hai scritto non corri il 
rischio che qualcuno particolarmente "skillato" metta le mani sul tuo 
computer e sappia cosa e come cercare. Perché non è che il primo fesso 
che passa sa come fare... non sono conoscenza da comune utente e neanche 
da classico smanettone di Windows quelle richieste per carpire la 
masterpassword di KeePass sfruttando quel bug.

 masterpassword di KeePass sfruttando quel bug.
 
come ormai consuetudine il rischio non viene dagli utenti che mettono le 
mani direttamente sul pc ma dai maleware. questi attacchi avvengono 
iniettando codice che poi, scalati i privilegi, le operazioni le fa 
programmaticamente senza bisogno di knowledge specifico da parte 
dell'attaccante.
 
è chiaro sono attacchi tendenzialmente mirati ma non bisogna abbassare 
troppo la guardia.

 
https://keepass.info/news/n230603_2.54.html
 
 
Solo a me, a partire da questa versione, scrive la PluginCache in
"%USERPROFILE%\AppData\Local\KeePass\" e non più, come sempre stato
finora, nella cartella dell'app?
Anche se avviato con privilegi elevati o in cartelle non protette 
(es. da chiavetta USB).
 
Per la versione portabilizzata è un po' una rottura, visto che lascia
tracce (non compromettenti, ma comunque fastidiose) sul PC ospite.
 
Non trovo nulla in merito a questa modifica nel changelog e, fino a 
ieri, non ho trovato neanche nessun commento in merito, né sul forum
ufficiale, né altrove.
 
 
Ciao,
un TJL73 che, appena trova il tempo, magari due righe gliele manda...
 
-- 
O.H.: Che ne pensi dell'amore a prima vista?
S.L.: Che fa risparmiare tempo.

 E scorrendo, pare quasi infinita con stelle etc e quella scritta che dicevo.
 
Se c'è un'impostazione per il blocco delle pubblicità, prova 
a disattivarla per SourceForge. A me capita una cosa analoga 
utilizzando Opera.
Oppure, qualche addon per il blocco degli script (es. ScriptSafe)
 
 
Ciao,
un TJL73 che ha aggiunto SF nelle exception list...
 
-- 
"La prima volta che si trovò di fronte a un piatto di spaghetti
 li scambiò per una versione impegnativa dello Shangai."
                                                -- Alessandro Bergonzoni

 
 
Bingo :-)

 tracce (non compromettenti, ma comunque fastidiose) sul PC ospite.
 
I PC in cui lo adopero come portable sono sempre i miei quindi non è 
problema questa eventuale scrittura fuori dalla sua cartella. Ad ogni 
modo i portable "sthealt" sono pochi, la maggioranza da quello che so e 
vedo, qualcosa nel sistema lo lasciano sempre.
 
Comunque da quello che dicono qui:
https://www.portablefreeware.com/index.php?q=keepass&m=
 
 
la 1.x dovrebbe essere sthealt se a qualcuno interessasse l'argomento.
 

 
 
Stealth, porca trota :-(

Il 08/06/2023 11:57, TJL73 ha scritto:

Infatti, prima, usavo la versione WPP: "x-keepass", ma non l'aggiornano 
più :-(
 


Ora che ci penso, la password nel file di dump ci dovrebbe essere solo 
se Keepass era aperto al momento di un crash, giusto?
Siccome io Keepass lo apro e richiudo subito dopo la digitazione di una 
password, in questo caso la pass principale non dovrebbe esistere in un 
eventuale file di dump (a meno che il pc mi sia crashato durante una 
digitazione); o sbaglio?
E, ora che ci penso, non ho idea da quanto non mi crashi il pc.

 digitazione); o sbaglio?
 
Non so se sbagli ma non mi fiderei del tuo pensiero :-) Cioè che le 
tracce della masterpassword vengano cancellate dalla memoria alla 
chiusura dello stesso, in RAM ci resta una sacco di cose alla chiusura 
di un programma. Ma francamente qual è il problema nel cancellare dei 
file che qualora fossero presenti perché non è affatto detto o sicuro ci 
siano, qualora ci fossero sono del tutto perfettamente inutili? Perché 
non cancellarli e ci si toglie il pensiero? Pensa un po', recuperi anche 
spazio disco... :-)
 
 
 


Vabbè, ce n'erano e ho fatto un po' di pulizia.
E' che io sono della vecchia scuola: " Finchè funziona, lascia stare." :-)

 " Finchè funziona, lascia stare." 😄
 
 
Sante parole :)
 
Io sono della scuola non aggiustare se non è rotto.


LOL

 quindi nessuna KeePass in appdata\local.
 
Io parlavo proprio di quella "Portable" ufficiale, dal sito ufficiale
("KeePass-2.54.zip"), non di release portabilizzate da altri.
 
Finora ( -> v2.53.1), restava tutto dentro la cartella di KeePass
(applicazione, configurazioni, kdbx, plugin, PluginCache, ecc.)
 
A partire da quest'ultimo aggiornamento, invece, la PluginCache viene
salvata comunque necessariamente sotto il profilo utente. Seccante.
 
 
Ciao,
un TJL73 che solo non ne comprende il motivo...
 
-- 
"Secondo autorevoli testi di aeronautica, il calabrone non può
 volare, a causa della forma e del peso del proprio corpo in rapporto
 alla sua superficie alare. Ma il calabrone non lo sa e perciò
 continua a volare."                                    -- Igor Sikorsky

 un TJL73 che solo non ne comprende il motivo...
 
 
OK in realtà ignoravo l'argomento perché non uso plugin per KeePass, 
qui scrivono:
 
PLGX plugins (not DLL plugins) are compiled and stored in a plugin cache 
directory on the user's system. This cache improves the startup 
performance of KeePass. Old files are normally deleted from the cache 
automatically (this can be disabled in the plugins dialog). The cache 
does not contain any user data.
 
By default, the plugin cache is located in the user's local application 
data directory (%LOCALAPPDATA%\KeePass\PluginCache). However, this can 
be overridden using the Application/PluginCachePath setting in the 
enforced configuration file (this setting supports placeholders and 
environment variables). So, if you are for example using KeePass on a 
portable device and do not want the cache to be on the system, you could 
set the path to {APPDIR}\PluginCache.
 
Warning Do not relocate the plugin cache into the 'Plugins' folder of 
the KeePass application directory, because this can result in a severe 
performance degradation.
 
 
 
https://keepass.info/help/v2/plugins.html#:~:text=Portability%3A%20PLGX%20plugins%20are%20compiled%20by%20KeePass%20and,default%20creates%20files%20outside%20the%20KeePass%20application%20directory%29
.

 performance degradation.
 
Azz! Me l'ero proprio persa.  -_-
 
Avevo cercato sul forum, nel changelog e altrove, ma mi era proprio
sfuggita questa modifica sulla pagina relativa ai plugin.
 
Grazie per la segnalazione.
 
 
Ciao,
un TJL73 che finalmente è venerdì...
 
-- 
"È difficile credere ancora negli ideali,
 ma per un compenso adeguato si può fare."
                                                       -- Fabio Di Iorio