KeePassXC 2.5.0

Уязвимости есть в любой программе. Стоит ли доверять ядру Linux? Ведь там постоянно находят уязвимости.

Синхронизация только через костыли? Браузерное расширение которым невозможно пользоваться? Зачем, когда есть BitWarden?

Синхронизация паролей через левый сервер? Серьёзно?

Надо на 4pda читать. По-моему, ещё и по sim-карте распознавало, ведь управляется через телефон.

Есть моцк лист бумаги с ручкой и pgp/gpg. Придумать один длинный мастер пароль и к нему для каждого сайта добавлять индивидуальный короткий перфикс-код, который записать на листе бумаги, из может быть много. Также в зависимости от названия сайта менять какую-то часть мастер пароля, только придумать алгоритм как эта часть будет формироваться. Все остальное не нужно так как не безопасно. А это решение легко запоминается и имеет сложную структуру состоящую из трёх частей.

вручную набирать пароли? мне это напоминает сайты где не работает вставка из буфера в целях якобы «повышения безопасности»

Да, про этот. В новостях видно:

KeePass 2.43 released 2019-09-10 14:53.

KeePass 2.42 (2.42.1) released 2019-05-01 14:46.

Bug Bounties (EU-FOSSA 2) 2019-01-15 20:17. The European Commission sponsors bounties for finding security vulnerabilities in KeePass 2.x (EU-FOSSA 2 project).

KeePass 2.41 released 2019-01-09 15:34.

Вполне себе обновляется. Причём там всякие суровые дядьки ищут уязвимости, что внушает чуть больше уверенности в отсутствии решета.

ну так не покупай это дерьмо, не финансируй копро-антиутопию

Помимо того что находится по запросу «keepass vulnerability», есть полезная прога https://github.com/HarmJ0y/KeeThief . Возможно, лучшее хранилище паролей - это листок бумаги, если в голове не помещается?

продублирую свое сообщение свыше - вручную набирать пароли? мне это напоминает сайты где не работает вставка из буфера в целях якобы «повышения безопасности» [br]листок бумаги или мозг это конечно хорошо если вы секретный агент, удобства ведь еще никто не отменял

про KeeThief - система уже хакнута и порушена если там гуляет такой софт

Помимо того что находится по запросу «keepass vulnerability», есть полезная прога https://github.com/HarmJ0y/KeeThief . Возможно, лучшее хранилище паролей - это листок бумаги, если в голове не помещается?

Ты аниме прересмотрел?

Значит если у тебя с рут правами выполняется мэлварь на компьютере (сканирует ОЗУ), то ввод пароля с листочка на этом компьютере - это безопасно. А вот KeePass - это опасно в такой ситуации?

А кто помнит какая последняя версия у кипаса поддерживает .kdb фаел?

Утечёт вся база или только набранные пароли - большая разница. Впрочем безопасно работать в недоверенной среде в любом случае вряд ли возможно.

https://github.com/HarmJ0y/KeeThief

А ещё можно через $LD_PRELOAD что угодно «взломать», какой ужас.

А кто помнит какая последняя версия у кипаса поддерживает .kdb фаел?

А что там помнить? 1.x последний поддерживает.

https://www.cvedetails.com/vulnerability-list/vendor_id-12214/Keepass.html

Придумать один длинный мастер пароль и к нему для каждого сайта добавлять индивидуальный короткий перфикс-код

Тогда, зная твой пароль в паре не особо важных мест (в какой-нибудь игре или форуме), можно выяснить твой «длинный мастер пароль». А после этого достаточно подобрать короткий префикс, чтобы взломать любой твой аккаунт, почту, клиент-банк…

В общем, это не намного безопаснее, чем просто «короткий перфикс-код».

листок бумаги или мозг это конечно хорошо если вы секретный агент

Ага. Обыскивают, значит, секретного агента, и находят у него в кармане листок бумаги со всеми его паролями. 🙂

Pass лучше!

хороший агент шифрует свои пароли на бумаге! хранить пароли в открытом виде на бумаге - моветон

Хороший агент шифрует свои пароли в мозге.

придумать пару открытый-закрытый ключ и шифровать пароли с ее помощью. Адреса сайтов использовать в качестве nonce. А что, хорошая идея

Но в итоге получается винлокер.

Терморектальный криптоанализ еще никто не отменял.

Stateless-менеджеров паролей уже много, идея не нова. Наверное, есть и с PGP, но зачем.

Поток не читал, использую https://www.keepassx.org

последний раз обновлялось 3 года назад, видимо, идеал достигнут

Некоторые особенности релиза: добавлена возможность экспорта базы данных паролей в HTML-файл Зочем ? Чтобы удобнее распространять свои confedence-sensative данные ? Чому не xml/markdown, html несколько избыточен для non-rich текста, чем password’ы фактически являются. С .html, как правило, работает браузер сети Интернет, удачная программа для просмотра (отправки кому нужно)… Также, если уж и хранить такую информацию, то уж в обезличенном формате (бинарном) (для печати); Кейс на каждый день для тех кто хранит свои секреты, видимо, чтобы раздавать сразу же, как листовки. добавлена панель с информацией о базе данных паролей и некоторой статистикой; Ну вот где, где, а здесь без статистики никуда ! добавлено руководство пользователя, доступное без подключения к сети Интернет; К версии v2.5.1, самое время. Опять же, это не обновление продукта, документация есть документация. добавлена возможность импорта паролей из хранилища 1Password OpVault; А чому такой шовинизм ? Чому из word’а импорта нет ? Не ясно, если юзверь хранит свои данные где - то еще (в других программах), то пусть ими и пользуется, в противном случае, при «переезде», стоило бы, как минимум, актуализировать данные, ревизия, плановая смена и т.д. security through obscurity Вот эти вот, экспорты и импорты — перемещение защищаемой информации туды - сюды, чем больше таких возможностей, особенно в тандеме с другими продуктами, тем вероятнее допущение критических ошибок, уязвимостей. Тут трясешься чтобы в алгоритмах шифрования или процессоре не нашли лазейку, не то что в огромной куче фактически ненужного кода, в следствие реализации фактически ненужной функциональности. добавлена UNIX man страница; По каждому чиху в документации будут пользователя уведомлять ? Если я уже пользуюсь программой, очевидно, более - менее понимаю что в ней к чему, еже ли не пользуюсь, еще, для меня это не новость. изменён дизайн диалога разблокирования базы данных; Нет, ну да, тут согласен, в crypto-сфере, дизайн GUI это самое важное, без этого нельзя. включена поддержка работы в окружении Wayland, но без автоввода паролей Ну разве что это за минорный апдейт сойдет.

Чому разметка поплыла ¯_(ツ)_/¯

Чому не xml/markdown Поправлюсь, нужно даже, скорее, «чому не plain-text/CSV».

Так и не вспомнил, почему перешел на KeePassXC с KeePass. Из-за Qt что ли…