KeePass KeePassXC KeePass2Android

[Parisien_entraide]

KEEPASSXC



Une nouvelle mise à jour vers la vers la version 2.7.4
Deux modifications ont été apportées à cette version.

- La prise en charge d'Unicode a maintenant été ajoutée sur Windows.
- Un délai d'expiration de 2 mois dans les préréglages.

Les corrections

- Corrige un plantage sur macOS lors du déverrouillage de la base de données
- Correction de l'affichage des mots de passe dans la fenêtre d'aperçu
- Correction des clics sur les liens dans l'aperçu de l'entrée
- La recherche d'entrées expirées est empêchée si aucun résultat n'est trouvé
- Navigateur : annule le code qui cause des problèmes de connectivité
- Navigateur : correction de la liaison symbolique des fichiers de socket sous Linux
- Flatpak : Correction du démarrage du service proxy du navigateur
- Agent SSH : Correction de la prise en charge de Paegent sous Windows


Pour compléter, il est intéressant de voir les bugs corrigés de la version précédente, la 2.7.3 avec les nouvelles fonctions dont la liste est impressionnante

https://github.com/keepassxreboot/keepassxc/releases

Téléchargement Windows de la dernière version
https://keepassxc.org/download/#windows

[Parisien_entraide]

Il peut sembler paradoxal d'indiquer qu'il existe une version 1.41 de Keepass, (qui vient de sortir) alors qu'il existe une version 2.5.2, mais celle ci rempli toutes les conditions sécuritaire pour son usage et.. peut suffire


Le comparatif entre les 2 versions est ici

https://keepass.info/compare.html

et le "pourquoi" et les détails dans la FAQ
https://keepass.info/devstatus.html


Après l'épisode LASTPASS (dernier message viewtopic.php?t=47929 ) nombre d'utilisateurs lésés ont compris qu'on ne pouvait confier les clés de sa maison à des inconnus
Un gestionnaire de mots de passe qui ne protège pas son serveur n'a tout simplement pas la compétence pour protéger le gestionnaire de mots de passe lui-même contre tout accès non autorisé.

Avec KEEPASS, vos données ne sont pas placées n'importe où, car elles sont exactement là où vous les placez.
Cela signifie que si elles tombent entre de mauvaises mains, vous êtes le seul responsable -


KEEPASS est de plus conseillé par de nombreux organismes de sécurité au sein de divers états, et pas du fait de pseudos journalistes "complaisants"

Il est avec Bitwarden, 1PassWord un des rares à être conseillé (et présente l'avantage de la gratuité)

keepass rating.jpg

[Parisien_entraide]

2023-01-09_175150.jpg

KEEPASS est sorti en version 2.5.3.


KeePass 2.53 propose principalement des améliorations d'interface utilisateur et d'intégration, ainsi que diverses autres nouvelles fonctionnalités et améliorations mineures.

Téléchargement et note de version


https://keepass.info/news/n230109_2.53.html


Pour l'instant le manuel en FR est toujours en version 2.5.2, donc à surveiller
https://keepass.info/download/v2_trl/Ke ... French.zip

Code : Tout sélectionner

- Pour chaque entrée répertoriée dans l'onglet "Historique" du dialogue de saisie, les champs qui ont changé par rapport à l'entrée précédente sont affichés.
- Ajout du bouton "Comparer" à la page de l'onglet "Historique" de la boîte de dialogue de saisie ; si deux entrées d'historique (pas nécessairement consécutives) sont sélectionnées, cliquer sur le bouton affichera une comparaison détaillée (avec des valeurs, etc.).
- Lors de l'édition d'une entrée, la liste des entrées de l'historique de la boîte de dialogue de saisie contient désormais une entrée appelée 'Dialogue (non enregistré)', qui représente toutes les données saisies dans la boîte de dialogue actuelle (autres onglets).
- Ajout de la commande "Historique" dans le menu principal "Rechercher" ; il répertorie tous les changements d'entrée (triés par heure).
- Ajout des boutons "Imprimer" et "Exporter" dans la plupart des boîtes de dialogue de rapport.
- Ajout de l'espace réservé {EDGE}, qui sera remplacé par le chemin d'accès exécutable du nouveau Microsoft Edge (basé sur Chromium), s'il est installé.
- Si vous essayez de réorganiser les entrées alors que le tri automatique est activé, KeePass vous demandera maintenant si vous souhaitez désactiver le tri automatique.
- Ajout de clés d'accès au menu déroulant de la boîte de dialogue élément/groupe.
- Ajout de clés d'accès dans le menu "Affichage" → "Trier par".
- Ajout de clés d'accès dans le menu des modèles d'entrée.
- Ajout de touches d'accès au menu Perform Auto-Type (qui apparaît lorsque l'option Show Additional Auto-Type Menu Commands est activée).
- Ajout du raccourci clavier Ctrl + T pour la commande d'entrée 'Copier l'OTP basé sur le temps'.
- Ajout du raccourci clavier Ctrl + Maj + T pour la commande "Afficher les données d'entrée OTP basées sur le temps".
- Le module d'importation XML pour Password Depot a été amélioré pour prendre en charge le nouveau format (prise en charge des nouveaux noms de nœuds, des icônes de groupe, de la corbeille, des balises, des favoris, de la conversion automatique du temps de retard, de l'historique, du mappage des icônes amélioré, de l'analyse améliorée de la date et de l'heure, …) .
- Ajout de la prise en charge de l'exécution de KeePass en mode FIPS.
- Améliorations et corrections dans les notes de version.

Pour les corrections voir le lien ci dessus
_____________

Pour info, quelques questions/réponses récentes du forum

__________

Q - Si un attaquant modifie le fichier de configuration xml (ajout d'un trigger d'export sur 'Opened database file') il pourra exporter tous les mots de passe, sans que nous le sachions. Ne faudrait-il pas demander à l'utilisateur de confirmer avant d'exporter ?

R - En un mot : i oui.
Vous pouvez désactiver "Ne pas exiger la saisie de la clé principale actuelle avant l'exportation" sous Outils > Options > Stratégie.
Cependant, un attaquant disposant d'un accès suffisant pour ajouter un déclencheur puis collecter l'exportation peut désactiver cette option.

Fondamentalement, si un attaquant a un accès complet à votre machine, ce n'est plus votre machine.
Utilisez le cryptage complet du disque, assurez-vous que votre antivirus est à jour et exécutez une analyse régulière des logiciels malveillants avec quelque chose comme MalwareBytes AM.

Le reste de la discussion est ici https://sourceforge.net/p/keepass/discu ... 146e5cf6b/
_________

Autres sur les vulnérabilités (malware et attaques)

https://keepass.info/help/kb/sec_issues.html#cfgw
https://keepass.info/help/base/security ... pecattacks

et il est bien précisé, ce qui est normal et de bon sens

"Ni KeePass ni aucun autre gestionnaire de mots de passe ne peut fonctionner comme par magie en toute sécurité dans un environnement infecté par des logiciels espions et non sécurisé.

Les utilisateurs sont toujours responsables de la sécurité de leur PC.
Utilisez un logiciel antivirus, maintenez à jour les logiciels critiques pour la sécurité, utilisez un pare-feu approprié, n'exécutez que des logiciels provenant de sources fiables, n'ouvrez pas de pièces jointes inconnues, etc.

[Parisien_entraide]

2023-01-28_165047.jpg

La version 2.53 est sortie depuis le 9/01/2023


Normalement si vous tenez vos programmes à jour, vous disposez de cette version depuis début janvier.
Si ce n'est pas le cas, il est plus qu'impératif de procéder à la mise à jour vers cette version 2.5.3 pour une simple raison :

LA RAISON ?


Une faille de sécurité (Qu'il faut relativiser)

https://socprime.com/blog/cve-2023-2405 ... leartext.

L’attaquant doit avoir au PC (local ou distant) pour tirer profit de la faille. Ce n'est donc pas en accès libre
C'est du même acabit de nombre de failles Intel où il faut un accès physique au PC, dont tout est relatif et c'est suivant usage etc

Néanmoins et ce, pas mal d'utilisateurs ne le font pas pour protéger sa base Keepass, : IL FAUT UTILISER UN CODE MAITRE POUR L'ACCES A LA BASE PRINCIPALE

En plus Keepass dans Outils > Options > Stratégie. peut "Ne pas exiger la saisie de la clé principale actuelle avant l'exportation"

De toutes les façons, si vous exécutez un logiciel malveillant (Phishing, crack, ...) , aucune protection ne fonctionnera si vous avez déjà ouvert Keepass ou un autre gestionnaire de mots de passe



Fondamentalement, si un attaquant a un accès complet à votre machine, ce n'est plus votre machine.


C'est le raisonnement de l'auteur de Keepass qui permet l'exportation du fichier .. En clair
Ceci n'est pas possible avec KeepassXC



Comme il est dit

"Le contrôle atténuant une faiblesse pour KeePass consiste à configurer un KeePass.config.enforced.xml qui nécessite la saisie du mot de passe pour effectuer une exportation.
L'accès au dossier C:\Program Files\KeePass Password Safe 2\ nécessite généralement une confirmation d'élévation de l'administrateur, donc même si quelqu'un a planté un logiciel malveillant, cela peut fournir une barrière supplémentaire (dernière ligne de défense).

Lire :
https://keepass.info/help/kb/sec_issues.html#cfgw
https://keepass.info/help/base/security ... pecattacks


Il est recommandé aussi (mais c'est une règle globale qui s'applique "'En général" ) de fermer la session dès que l’on quitte son PC ou encore de contrôler et gérer les accès des personnes et applications sur les appareils


Après le piratage de LASTPASS
viewtopic.php?t=47929

Des potentielles failles avec BITWARDEN (mais en tous les cas le pshinging est avéré
viewtopic.php?p=535192#p535192

Cela permet de se plonger dans le code et d'être plus attentif aux failles pour les autres programmes de gestion de mots de passe



Au delà de cela voici ce qu'apporte cette version 2.5.3


Nouvelles fonctionnalités:

Code : Tout sélectionner

- Pour chaque entrée répertoriée dans l' onglet ' Historique ' de la boîte de dialogue des entrées , les champs modifiés par rapport à l'entrée précédente sont affichés.
- Ajout du bouton « Comparer » sur la page de l'onglet « Historique » de la boîte de dialogue de saisie ; lorsque deux entrées d'historique (pas nécessairement consécutives) sont sélectionnées, un clic sur le bouton affiche une comparaison détaillée (avec des valeurs, etc.).
- Lors de la modification d'une entrée, la liste des entrées de l'historique de la boîte de dialogue d'entrée contient désormais une entrée appelée "Dialogue (non enregistré)", qui représente toutes les données saisies dans la boîte de dialogue actuelle (autres pages à onglet).
- Lors de l'édition d'une entrée, la liste des entrées de l'historique de la boîte de dialogue d'entrée contient désormais une entrée appelée 'Current (TIME)', qui est l'entrée actuellement stockée dans la base de données (sans aucune modification apportée à la boîte de dialogue actuelle).
- Ajout de la commande "Historique" dans le menu principal "Rechercher" ; il répertorie toutes les modifications d'entrée (triées par heure).
- Ajout d'une boîte de filtre dans la plupart des boîtes de dialogue de rapport (dernières entrées modifiées, historique, entrées volumineuses, clusters de mots de passe similaires, qualité des mots de passe, comparaison des entrées d'historique, recherche de fichiers de base de données, ...).
- Ajout du bouton "Imprimer" dans la plupart des boîtes de dialogue de rapport.
- Ajout du bouton "Exporter" dans la plupart des boîtes de dialogue de rapport ; les formats pris en charge sont CSV et HTML.
{EDGE} Espace réservé ajouté , qui est remplacé par le chemin d'accès exécutable du nouveau Microsoft Edge (basé sur Chromium), s'il est installé.
- Ajout d'une suggestion de remplacement d'URL pour Microsoft Edge en mode privé dans la liste déroulante des suggestions de remplacement d'URL de la boîte de dialogue d'entrée.
- Ajout de remplacements d'URL globaux intégrés facultatifs pour l'ouverture d'URL HTTP/HTTPS avec Microsoft Edge en mode privé.
- Lorsque vous essayez de réorganiser les entrées alors que le tri automatique est activé, KeePass demande maintenant s'il faut désactiver le tri automatique.
- Ajout de clés d'accès dans le menu déroulant des boutons de balises des boîtes de dialogue d'entrée/de groupe.
- Ajout de clés d'accès dans le menu 'Affichage' → 'Trier par'.
- Ajout de clés d'accès dans le menu des modèles d'entrée .
- Ajout de touches d'accès dans le menu "Effectuer la saisie automatique " (qui s'affiche si l'option "Afficher les commandes de menu de saisie automatique supplémentaires" est activée).
- Ajouté {HMACOTP} et{TIMEOTP} dans le menu 'Perform Auto-Type'.
- Ajout d' un raccourci clavier pour la commande de données d'entrée "Copier l'OTP basé sur l'heure".Ctrl+T
- Ajout d'un raccourci clavier pour la commande de données d'entrée "Afficher l'OTP basé sur l'heure".Ctrl+Shift+T
- Module d'importation XML de dépôt de mots de passe amélioré pour prendre en charge le nouveau format (prise en charge supplémentaire des nouveaux noms de nœuds, des icônes de groupe, de la corbeille, des balises, des favoris , de la conversion automatique du délai de type, de l'historique, du mappage d'icônes amélioré, de l'analyse date/heure améliorée, .. .).
- Ajout d'une bordure pour les en-têtes dans les exportations/impressions HTML.
- Ajout de la prise en charge de l'exécution de KeePass en mode FIPS .

Améliorations :

Code : Tout sélectionner

- Les entrées de l'historique répertoriées dans l'onglet "Historique" de la boîte de dialogue des entrées sont désormais triées de la plus récente à la plus ancienne.
- Les icônes dans la liste de la page de l'onglet 'Historique' de la boîte de dialogue d'entrée indiquent maintenant le type de l'entrée.
- Les commandes d'entrée d'historique de la boîte de dialogue d'entrée sont désormais désactivées lors de la création d'une nouvelle entrée.
- Le bouton "Restaurer" de l'entrée d'historique est désormais désactivé lorsqu'une modification a été apportée à la boîte de dialogue actuelle.
- L'heure 'Mot de passe modifié' est maintenant mise à jour immédiatement lors de la suppression d'une entrée d'historique.
- Amélioration de la suggestion de remplacement d'URL pour Microsoft Edge dans la liste déroulante des suggestions de remplacement d'URL de la boîte de dialogue d'entrée (modifiée de ' microsoft-edge:{URL}' à ' cmd://{EDGE} "{URL}"').
- Remplacements d'URL globaux intégrés facultatifs améliorés pour l'ouverture d'URL HTTP/HTTPS avec Microsoft Edge (modifié de ' microsoft-edge:{BASE}' à ' cmd://{EDGE} "{BASE}"').
- L'URL du navigateur Web réorganisé remplace par ordre alphabétique.
- Amélioration de l'affectation des touches d'accès aux éléments de menu dynamique.
- Amélioration de la séparation des éléments dans la vue des détails de l'entrée.
- Dans la plupart des endroits, les groupes d'un chemin de groupe sont désormais séparés par des flèches vers la droite au lieu de tirets.
- Amélioration de la comparaison de l'heure de dernière modification pour les dictionnaires de données de plug -in.
- Génération unifiée de parties HTML communes.
- La commande « Copier le mot de passe initial » dans le menu « Outils » de la boîte de dialogue de saisie nécessite désormais l' indicateur de politique d'application « Copier » .
- Diverses améliorations du texte de l'interface utilisateur.
- Diverses optimisations de code.
- Autres améliorations mineures.

Corrections de bogues :
- Le bouton "Restaurer" de l'entrée d'historique fonctionne désormais toujours comme prévu.

[Parisien_entraide]

Au sujet de Keepass et de "la faille"'

En fait cela reprend ce que j'ai avancé un peu plus haut en plus détaillé (ne pas passer à côté des commentaires)

https://www.bleepingcomputer.com/news/s ... ord-theft/

[Parisien_entraide]

2023-05-17_182618.jpg

KeePassXC 2.7.5


Une douzaine de nouveautés de nombreuses corrections de bugs, la nouvelle mouture de KeePassXC est sortie


La liste au complet : https://github.com/keepassxreboot/keepa ... /tag/2.7.5

2023-05-17_182250.jpg

Source https://keepassxc.org/blog/2023-05-14-2.7.5-released/

Téléchargement
https://keepassxc.org/download/
ou
en fin de page https://github.com/keepassxreboot/keepa ... /tag/2.7.5

[Parisien_entraide]

2023-05-18_163655.jpg

Une vulnérabilité récemment révélée dans le gestionnaire de mots de passe KeePass pourrait être exploitée pour récupérer le mot de passe principal. La vulnérabilité, CVE-2023-32784 https://cve.mitre.org/cgi-bin/cvename.c ... 2023-32784
indique que le mot de passe principal peut être récupéré à partir des vidages de la mémoire système, même si le système n'est pas en cours d'exécution ou verrouillé.

Preuve : https://github.com/vdohney/keepass-password-dumper

L'outil, KeePass 2.X Master Password Dumper, analyse les vidages mémoire, par exemple pagefile.sys, hiberfil.sys ou le vidage du processus KeePass pour renvoyer le mot de passe principal en texte clair. Pour être précis, la vulnérabilité peut renvoyer tous les caractères du mot de passe principal à l'exception du premier.

Dominik Reichl, le développeur de KeePass, publiera un correctif dans la prochaine version de KeePass 2.54, dont la sortie est prévue dans les 2 prochains mois.

Evidemment il a un peu de temps car bien que la vulnérabilité puisse permettre de récupérer le mot de passe principal du gestionnaire de mots de passe, il semble peu probable qu'elle soit exploitée à grande échelle.

Un scénario probable est une analyse forensic sur un ordinateur, car cela peut renvoyer le mot de passe principal du gestionnaire de mots de passe.

L'une des meilleures protections contre cela consiste à utiliser le chiffrement intégral du disque et un mot de passe fort. Les utilisateurs de Windows peuvent utiliser le logiciel de cryptage open source Vera Crypt pour cela. Un mot de passe est requis lors du démarrage du système pour déchiffrer le lecteur système et démarrer le système d'exploitation.

Le chercheur suggère que les utilisateurs de KeePass peuvent également supprimer régulièrement l'hibernation, les fichiers d'échange et les fichiers d'échange, mais ce n'est qu'un recours temporaire. Changer le mot de passe principal aide également, mais aussi temporairement.

Tous les détails ici https://sourceforge.net/p/keepass/discu ... 6283/#37b9

Cela n'affecte QUE Keepass et non pas KeePassXC

[Parisien_entraide]

2023-06-04_134924.jpg

Finalement l'auteur a sorti bien avant ce qu'il avait prévu la version 2.54

Téléchargement : https://keepass.info/

Le programme d'installation mettra automatiquement à jour les installations précédentes du gestionnaire de mots de passe.



LES NOUVEAUTES

Comme prévu, la nouvelle version améliore considérablement la fonctionnalité d'exportation

Les exportations nécessitent désormais l'indicateur de stratégie d'application "exporter" "dans la plupart des boîtes de dialogue de rapport" et le mot de passe principal. La conception des boîtes de dialogue de confirmation d'exportation a également changé. Le traditionnel bouton "ok" a été remplacé par un bouton "Confirmer l'exportation" pour rendre l'action plus claire, et les bannières ont une nouvelle couleur de fond.

Les mots de passe et autres données sensibles sont désormais cachés derrière des astérisques dans les boîtes de dialogue de rapport. Il y a un nouveau bouton dans la barre d'outils pour basculer le masquage des informations.

Un autre changement majeur pousse plusieurs options de configuration importantes dans le fichier de configuration imposé du programme. Les options de configuration du fichier ont priorité sur les modifications apportées aux fichiers de configuration globaux ou locaux de l'application.

La fonctionnalité est conçue principalement pour les administrateurs système qui souhaitent appliquer certains paramètres, mais elle peut également être utilisée pour se protéger contre la manipulation par des tiers.


L'auteur indique que les déclencheurs, les remplacements d'URL globales, les profils de générateur de mots de passe "et quelques autres paramètres" sont stockés dans le fichier de configuration appliqué dans KeePass 2.54.

Cela peut avoir des conséquences :

- Les déclencheurs peuvent être utilisés pour automatiser certaines tâches dans KeePass.
- Le système de déclenchement est désactivé si les déclencheurs n'étaient pas déjà enregistrés dans le fichier de configuration dans les versions antérieures.
- Les utilisateurs doivent sélectionner Outils> Déclencheurs et cocher l'option "activer le système de déclenchement" pour commencer à les utiliser.
- Les remplacements d'URL globales sont désactivés dans KeePass, à moins qu'ils ne soient stockés dans la configuration appliquée. Celles-ci peuvent être activées sous Outils > Options > Intégration > Remplacements d'URL.
- Profils de générateur de mot de passe. Celles-ci sont désormais également stockées dans la configuration appliquée. Pour continuer à les utiliser, sélectionnez Outils > Générer un mot de passe > bouton Bouclier, apportez les modifications et activez le bouton Enregistrer.


Tous les détails à (dont pour les utilisateurs de version portable ou ceux qui avaient la version intermédaire)
https://keepass.info/news/n230603_2.54.html

Le problème de sécurité signalé le mois dernier a doncété résolu dans cette version

Discussion sur la dernière version
https://sourceforge.net/p/keepass/discu ... #5a0c/abb7

[Parisien_entraide]

Pour cet été


les conseils bronzage

les croics.jpg

mais aussi lecture

2023-06-23_140659.png

[Parisien_entraide]

Alsace mot de passe.jpg

Une petite astuce :


La langue par défaut du programme est l'anglais, MAIS la phrase secrète suggérée est composée de mots anglais.
Si je change la langue par défaut à l'installation (En Français si votre Windows est dans cette langue) , la phrase secrète est toujours formée de mots anglais

MAIS on peut utiliser des fichiers de listes de mots dans la langue que l'on souhaite
Il suffit de récupérer des listes que l'on place dans le dossier que l'on souhaite (idéalement pour que cela soit propre dans le dossier de KeepassXC)

(Sur linux c'est /usr/share/keepassxc/wordlists/)


Sur PC il suffit d'indiquer le chemin du fichier

KepassXC_Wordlis.png

Pour la France il y a des dicos spécifiques bien reconnus par KeepassXC, ce qui permet d'utiliser certaines caractères spéciaux

Sous Linux (utilisable sous Windows ) on peut trouver un générateur qui prend en compte la liste FR
https://github.com/mbelivo/diceware-wordlists-fr

$ src/rolldice wordlist_4k.txt

Auteur et explications https://linuxfr.org/users/try/journaux/ ... n-francais
Voir également https://github.com/redacted/XKCD-password-generator


ATTENTION on parle là bien de générateur de phrases et non de mots à usage unique

Du reste c'est pour cela qu'il est conseillé de transformer votre mot de passe maître en phrase de passe .
Une phrase de passe est une chaîne de plusieurs mots dont vous vous souviendrez facilement, mais que d’autres auront du mal à deviner.




Ca c'est la théorie, car consciemment ou inconsciemment, on y mêlera des mots en lien avec notre environnement, habitudes, etc
Ce qu'il faut éviter
Il faut donc de l'aléatoire avec un générateur de phrases


D'autres listes de mots, ou de langues surtout sont disponibles ici
https://github.com/strongbox-password-s ... /wordlists


Une curiosité, la principale langue indigène du mexique : Le nahuatl
https://github.com/carlosm2/lista-nahua ... -lista.txt

Il ne faut pas croire que les dicos qui sortent des sentiers battus permettent une utilisation sereine de l'usage d'un mot de passe unique (pour d'autres usages par ex) car ceux qui fournissent les dicos pour craquer par force brute ont étudié tous les aspects de la chose

On trouve par ex un dico de la langue des indiens NAVAJOS (langue utilisée pendant la seconde guerre mondiale pour coder) mais... pire (et en restant sur cette langue) des dicos d'un dessin animé très apprécié de ces indiens Navajos, avec des phrases connues et utilisées dans le dessin animé qui permet de générer des phrases
Il faut donc TOUJOURS avoir en tête que les malfaisants ont une longueur d'avance sur vous
Ce à quoi vous pensez pour vous défendre, ils l'ont pensé bien avant vous

___________
Là cela ne traite pas de KeepassXC mais de Keepass où les similitudes sur le fond sont très similaires (normal)

Guide pratique
https://ssd.eff.org/fr/module/guide-pra ... -keepassxc

Toutes l'aide de KeepassXC en Français
https://sourceforge.net/projects/keepas ... rror=jaist

[Parisien_entraide]

2023-08-18_091023.png

KeePassXC est passé en version 2.7.6


Améliorations

- Amélioration significative de l'affichage lors du glisser-déposer des entrées
- Demander automatiquement un déverrouillage rapide lorsque la boîte de dialogue de déverrouillage apparaît
- Amélioration de l'icône de verrouillage colorée et de l'icône de fichier MIME sur KDE
- Possibilité de rechercher des entrées UUID
- Ajout du support Challenge-Response pour NitroKey 3
- Auto-Enter : Auto-Type au niveau d'entrée sera désactivé s'il est désactivé au niveau du groupe/de l'entrée
- Navigateur : message d'avertissement lors de l'ajout d'URL en double à l'entrée
- Navigateur : message d'erreur amélioré lorsque le proxy est introuvable


Corrections :

- Correction d'un plantage à la sortie sur macOS
- Correction d'un crash lors de la recherche lorsque l'entrée n'a pas de groupe
- Correction de plusieurs problèmes avec le déverrouillage rapide
- Bouton Enregistrer activé si les modifications non liées aux données ne sont pas automatiquement enregistrées
- Déplacez la barre d'outils vers le haut de la fenêtre lorsque la fonction de déplacement est désactivée
- Navigateur : Correction de la gestion des informations d'identification expirées
- Windows : Empêcher le scintillement blanc lors du lancement de l'application
- Linux : Correction du message d'avertissement concernant l'autorisation des captures d'écran
- FdoSecrets : Correction de la boîte de dialogue de confirmation d'accès, qui s'affiche également lorsqu'elle est désactivée


Téléchargement
https://github.com/keepassxreboot/keepassxc/releases

[Parisien_entraide]

2023-10-22_112420.jpg

KeePass est passé en version 2.55


NOUVEAUTES ET CORRECTIONS

Ce qui est mis en avant :

- KeePass ne plante plus lorsqu'un plugin tente de télécharger un fichier sur un serveur de manière asynchrone.

- Le module d'importation CSV prend désormais en charge le nouveau format pour Google Chrome et le module d'importation mSecure CSV a également été amélioré en conséquence.

- De plus, le module d'importation 1PUX de 1Password prend désormais en charge le nouveau champ/type de mot de passe. Il y a également eu un certain nombre d'améliorations.


AMELIORATIONS (le principal)

- Les boîtes de dialogue de rapport peuvent désormais être fermées en appuyant sur la touche Échap.
- Les options de la boîte de dialogue Entrées/Groupes en double sont désormais enregistrées.
- Les options de la boîte de dialogue d'exportation/impression HTML sont désormais enregistrées.
- Ajout de noms accessibles pour certains contrôles (contrôle d'édition de raccourci clavier personnalisé dans la boîte de dialogue de saisie automatique, contrôle d'édition de filtre dans les boîtes de dialogue de rapport, certains contrôles dans la boîte de dialogue du générateur de mot de passe ; lorsque l'option Optimiser pour le lecteur d'écran est activée).
- Ajout du paramètre de configuration « MasterKeyExpiryForce ».
- Amélioration des performances de chargement INI.
- Protection améliorée de la mémoire de processus des objets 'CryptoRandomStream'.
- Le fichier MSI est maintenant créé à l'aide de Visual Studio 2022.

A noter que la base de données *.kdbx (exemple : DataBase2.55.kdbx) est portable et peut être partagée avec le programme KeePassDroid sur Android :
https://play.google.com/store/apps/deta ... id.keepass


L'intégralité des changements et améliorations
https://keepass.info/news/n231012_2.55.html

Lien de téléchargement : https://keepass.info/download.html


-------------

!

ATTENTION ! Un faux site KeePass utilise Google Ads et Punycode pour diffuser des logiciels malveillants Tout cela n'est pas nouveau et rappelle qu'il vaut mieux se passer de google pour rechercher des logiciels https://arstechnica.com/information-tec ... -software/ et ce d'autant plus que ces derniers temps il y a une forte montée des campagnes de publicité malveillante via les recherches Google https://www.malwarebytes.com/blog/threa ... g-campaign En récent il y Notepad++, WinSCP et PyCharm Professional. mais cela touche en fait nombre de programmes courants et recherchés : Blender 3D, VirtualBox, OBS, VLC, WinRAR, CCleaner.... Pour ne citer que les plus connus D'autres campagnes ont usurpé l'identité de marques comme Adobe, Gimp, Slack, Tor et Thunderbird,

Une campagne publicitaire Google a été trouvée pour pousser un faux site de téléchargement KeePass qui utilisait Punycode pour apparaître comme le domaine officiel du gestionnaire de mot de passe KeePass afin de distribuer des logiciels malveillants.


Punycode est une méthode d’encodage utilisée pour représenter les caractères Unicode, permettant de convertir les noms d’hôtes en caractères non latins (cyrillique, arabe, grec, chinois, etc.) en ASCII afin de les rendre compréhensibles pour le DNS (Domain Name System).

PunyCode :
Par exemple, “München” serait converti en “Mnchen-3ya”, “α” deviendrait “mxa”, “правда” serait “80aafi6cg” et “도메인” deviendrait “hq1bm8jm9l”.

En fait c'est ce qui est utilisé ou peut etre utilisé pour le combosquatting
https://www.malekal.com/combosquatting/

Google est aux prises avec des campagnes de malvertising en cours qui permettent à des acteurs menaçants de diffuser des annonces sponsorisées qui apparaissent au-dessus des résultats de recherche.

On retrouve les techniques d'mpoisonnement SEO ( SEO = Search Engine Optimisation, Search Engine cela désigne les moteurs de recherche WEB (donc Google, Bing etc)
Tout est décrit ici viewtopic.php?t=21270

Pire encore, Google Ads peut être détourné pour afficher le domaine légitime de Keepass dans les publicités (https://www.keepass.info), ce qui rend la menace difficile à repérer, même pour les utilisateurs les plus diligents et les plus soucieux de leur sécurité.


Les acteurs de la menace abusent du Punycode pour enregistrer des noms de domaine qui semblent similaires à des sites légitimes, mais dont l’un des caractères utilise l’unicode, pour paraître légèrement différent.

Ces types d’attaques sont appelés “attaques par homographe”.
Dans l’attaque repérée par Malwarebytes, les auteurs de la menace utilisent le Punycode “xn-eepass-vbb.info” qui se transforme en “ķeepass.info”, le véritable domaine du projet, mais avec une intonation mineure sous le caractère “ķ”.

punycode.png

2023-10-22_114028.jpg

J'ai pris cet exemple car il est bloqué "normalement" par certains navigateurs ou alors ceux ci affichent un site introuvable (normal google s'en est chargé)
(Et ce n'est pas l'antivirus en place qui indique quoi que ce soit)

2023-10-22_113842.jpg

Alors que Google a supprimé la publicité Punycode originale vue par Malwarebytes, BleepingComputer a trouvé d’autres publicités KeePass en cours dans la même campagne de logiciels malveillants mais le fonctionnement est à l'identique :

Dans les tests de BleepingComputer, lorsqu’il est exécuté, le script PowerShell de FakeBat télécharge une archive RAR cryptée par GPG, la décrypte et l’extrait dans le dossier %AppData%.

Dans le fichier analysé par BleepingComputer, le script lance un fichier nommé “mergecap.exe” à partir de l’archive.

Un rapport d’Intel471 datant de début 2023 explique que FakeBat est un chargeur/déposeur de logiciels malveillants associé à des campagnes de désinformation depuis au moins novembre 2022.

La charge utile finale du malware livré dans la campagne vue par Malwarebytes n’est pas déterminée, mais un rapport Sophos de juillet 2023 associe FakeBat à des voleurs d’informations tels que Redline, Ursniff et Rhadamathys.

Ces voleurs d'informations sont appelés "Stealer"
https://www.malekal.com/trojan-stealer/

Les mêmes qui sont utilisés pour les cracks de programmes, jeux, programmes de triche, ..
viewtopic.php?t=71178


Le rapport de Sophos
https://news.sophos.com/en-us/2023/07/2 ... nfections/

BleepingComputer a trouvé d’autres logiciels populaires usurpés dans cette campagne de logiciels malveillants, notamment WinSCP et PyCharm Professional.


Sources :
https://www.malwarebytes.com/blog/threa ... te-website
https://www.bleepingcomputer.com/news/s ... h-malware/
https://news.sophos.com/en-us/2023/07/2 ... nfections/

[Parisien_entraide]

2024-02-05_141721.png

KEEPASS est passé en version 2.56


- Un champ de recherche a été ajouté à la boîte de dialogue des options.
- La recherche est également accessible à l'aide du raccourci clavier Ctrl + F.
- Un bouton « Plus » a été ajouté à l'onglet Historique de la boîte de dialogue Entrées, qui affiche un menu avec les deux nouvelles commandes suivantes : « Sélectionner toutes les entrées existantes » (raccourci clavier Ctrl + A) et « Supprimer toutes les entrées existantes ».
- Le menu apparaît également sous forme de menu contextuel dans la liste des entrées de l'historique.


Autres nouvelles fonctionnalités et améliorations :

Code : Tout sélectionner

- Lorsque vous appuyez sur Entrée dans l'arborescence du groupe dans la fenêtre principale, les entrées du groupe sont désormais affichées (cela peut être utile, par exemple, si la liste des entrées affiche les résultats de la recherche).
- Ajout d'une solution de contournement pour l'erreur de taille de fenêtre mono.
- Ajout d'une page d'aide sur l'accessibilité.
- Dans la fenêtre principale, la liste des entrées est désormais mise à jour lorsque vous cliquez avec le bouton droit sur un groupe dans l'arborescence des groupes.
- Lors du développement/réduction d'un groupe dans l'arborescence des groupes de la fenêtre principale, il n'est plus sélectionné.
- L'option « Mémoriser le paramètre de mot de passe dans la fenêtre principale » est désormais désactivée par défaut.
- Dans la boîte de dialogue de sélection automatique des entrées, les commentaires (espaces réservés {C:…}) sont désormais supprimés des valeurs de la colonne « Ordre » lorsque la colonne « Ordre - Commentaires » est affichée.
- La vue est désormais restaurée après la coloration syntaxique dans le champ de séquence de la boîte de dialogue de mappage automatique.
- Scintillement réduit dans le champ de séquence de la boîte de dialogue de mappage de type automatique.
- Amélioration des performances de compilation Spr pour certains textes.
- Amélioration mineure du processus de protection de la mémoire pour le générateur de mot de passe.
- Améliorations mineures de la protection de la mémoire des processus pour certaines boîtes de dialogue de rapport.
- Amélioration de la sécurité des threads de gestion des boîtes de message.
- Implémentation améliorée des objets UUID.
- Améliorations de la vérification de l'égalité des collections (pour les plugins).
- Diverses optimisations de code.

Autres améliorations mineures.

Code : Tout sélectionner

- Dans la fenêtre principale, la liste des entrées est désormais mise à jour correctement lorsque des pressions de touches qui se chevauchent sont effectuées dans l'arborescence des groupes.
- Lors de l'annulation d'un glisser-déposer de groupe, la sélection de groupe est désormais correctement restaurée.
- Correction de l'arrière-plan des pages d'aide CHM.

Téléchargement (version classique et portable)
https://keepass.info/download.html

[Parisien_entraide]

2024-03-11_114854.jpg

KEEPASSXC est passé en version 2.7.7


Lien de téléchargement : https://github.com/keepassxreboot/keepassxc/releases

Les détails de la mise à jour https://keepassxc.org/blog/2024-03-10-2.7.7-released/


Les points principaux de cette mise à jour


Importations

KeePassXC vous permet désormais d'importer votre base de données depuis Bitwarden. L'option permettant d'ajouter le format JSON est disponible dans un nouvel assistant d'importation

KeePassXC permet depuis longtemps aux utilisateurs de migrer depuis 1Password, mais les anciennes versions du gestionnaire de mots de passe utilisaient le format OPVault pour importer les données.
La dernière version de KeePassXC ajoute la prise en charge du format d'exportation de 1Password, 1PUX.

2024-03-11_120333.jpg

Clés Yubikey et autres clés matérielles

KeepassXC a amélioré l'expérience de déverrouillage de la base de données pour les clés de sécurité matérielles telles que YubiKey, OnlyKey.

Navigateur : ajout de la prise en charge des clés d'accès

Vous n'avez plus besoin de choisir la clé matérielle ou le fichier de clé après avoir saisi votre mot de passe principal.
En fait, les champs des deux options ont été supprimés de la fenêtre contextuelle de connexion.
Le programme détecte désormais automatiquement les appareils, il vous suffit de brancher votre clé matérielle sur votre ordinateur.
La fonctionnalité prend également en charge les lecteurs NFC et les fichiers clés, mais vous devrez utiliser l'option « Sélectionner un fichier » pour déverrouiller le coffre-fort.

Sur la Yubikey https://www.malekal.com/yubikey-la-cle- ... s-comptes/

Pour les passkeys le site a réactualisé la page
https://keepassxc.org/docs/KeePassXC_Us ... #_passkeys


Sécurité : Sur l'aspect sécurité, ce n'est pas directement lié au programme, mais au extensions KeepassXC pour les nagitateurs Firefox , Chrome ou Edge . Cela prend en charge le protocole résistant au phishing créé par FIDO.



PRINCIPALES AMELIORATIONS/MODIFICATIONS


- Sécurité : les attaques par canal secondaire octet par octet et par inférence de pièce jointe sont empêchées
- Correction de plusieurs problèmes TOTP
- Correction de la perte de focus lors de la sauvegarde lorsque l'éditeur n'est plus visible
- Correctifs pour supprimer des entrées de l'historique
- Correction pour que la première entrée ne soit pas sélectionnée lorsqu'une recherche est effectuée
- Empêche les barres de défilement lors du glisser/déposer des entrées
- Empêche les caractères en double dans le champ « Sélectionner également parmi » du générateur de mot de passe
- Navigateur : correction de bugs renvoyant les informations d'identification
- MacOS : Correction d'un crash lors du changement de couleur de surbrillance/accent
- Windows : correction des processus KeePassXC se terminant avec le programme d'installation MSI



CONSEILS :

Perso j'ai été confronté "parfois" à une indication de corruption de la base de données
Celle ci, donc ne pouvait pas s'ouvrir (mais j'effectue des copies à chaque nouvelle entrée)
A priori cela a été corrigé (Edit : Je confime)

Il est donc conseillé, et la possibilité existe, via le menu et onglet "Base de données" d'effectuer des sauvegardes de la base de données, "Enregistrer la base de données sous" et même, une copie, là aussi la possibilité existe, sous le nom "Enregistrer une copie de sécurité de la base de données"

Attention ensuite à l'ouverture de la base, surtout si la copie de sécu est enregistrée sur un support amovible, car KeepassXC va essayer d'ouvrir celle ci par défaut (on peut résoudre la chose en enregistrant une sauvegarde classique sur le disque en place sur le PC)

Pour ce dernier point cela concerne surtout les copies de sauvegarde sur une unité externe (en évitant la clé USB qui n'est pas un support fiable
Voir ce sujet : viewtopic.php?t=74057

A cela j'y ajoute, une copie au format .csv, .html, .xmj, toujours via le menu et onglet "Base de données", de tous les mots de passe "en clair"

C'est surtout utile pour certains cas particuliers, lorsqu'un site rechigne à ce qu'on remplisse les champs
Cela peut arriver car l'enregistrement du site, login et mot de passe a mal été renseigné, et si on se sert de la génération de mots de passe, longs etc qui sont bien entendu impossible à retenir, ou .. tout simplement le jour où l'on souhaite changer de programme de gestion de mot de passe

Il va sans dire que le fichier obtenu en exportation ne doit absolument pas figurer sur votre disque dur /SSD du PC mais sur une unité externe

[Parisien_entraide]

KEEPASSXC est passé en version 2.7.8




Téléchargements

https://github.com/keepassxreboot/keepa ... indows.msi
ou
https://keepassxc.org/download/#windows

Normalement Defender bloquera le programme (il est trop récent) , il faut donc l'autoriser

Bien qu'il n'y ait pas de soucis avec la maj, je conseille une sauvegarde de la base sur un support externe, et une exportation également au format .csv "en clair" donc (Ne pas laisser trainer) , de l'ensemble des login/mot de passe avant de procéder



ATTENTION : Sous linux il vaut mieux rester sous la version 2.7.7 du fait de quelques bugs dont le plus important pour certains utilisateurs : Ne pas pouvoir utiliser la base pour entrer sur un site avec remplissage du login et mot de passe
En effet, la valeur par défaut du verrouillage d'inactivité de la base de données normalement est de 10 secondes, là elle est à ..1 seconde


Changements

Code : Tout sélectionner

- Ajout d'un raccourci clavier pour afficher l'aide à la recherche [ #10591 ]
- Ajout d'un raccourci clavier pour changer de groupe (Ctrl+Shift+PgUp/PgDown) [ #10625 ]
- Ajout d'un paramètre de délai de sauvegarde automatique par base de données [ #9100 ]
- Ajout d'une vérification configurable de la force du mot de passe sur le mot de passe de la base de données [ #9782 ]
- Ajout d'un paramètre pour masquer la barre de menus [ #10341 ]
- Amélioration de l'importation Bitwarden 1PUX et prend en charge les collections d'organisations [ #10499 ]
- Affiche la case à cocher des paramètres avancés uniquement pour les paramètres qui en disposent [ #6513 ]
- Supprime le paramètre obsolète exigeant la saisie répétée du mot de passe [ #9722 ]
- Clés d'accès : autoriser l'enregistrement des clés d'accès pour les entrées existantes [ #10408 ]
- Clés d'accès : afficher un avertissement concernant les données non chiffrées avant l'exportation de la clé d'accès [ #10411 ]
- Clés d'accès : Prise en charge des transports NFC et USB [ #10402 ]
- Clés d'accès : transmettre les données JSON de l'extension au navigateur [ #10615 ]
- Agent SSH : Ne pas utiliser les entrées de la corbeille [ #10518 ]
- Linux : modifier la séquence de raccourcis clavier utilisée pour la saisie automatique {CLEARFIELD} [ #10008 ]
- Windows : Améliorer la protection de l'accès à la mémoire DACL [ #10618 ]

Correctifs

Code : Tout sélectionner

- Correction d'un crash lors de la suppression d'éléments de l'historique [ #10451 ]
- Correction d'un crash lors du verrouillage de l'écran ou de la veille de l'ordinateur [ #10458 ]
- Correction du champ de recherche qui n'était pas focalisé après le déverrouillage [ #10459 ]
- Correction de la perte du focus de la fenêtre lorsque Auto-Type doit déverrouiller une base de données [ #10555 ]
- Correction d'une visibilité TOTP incohérente au déverrouillage [ #10009 ]
- Correction de l'importation CSV sautant les groupes à nom unique [ #10575 ]
- Correction du dossier de fichiers clés mémorisé même s'il est désactivé dans les paramètres [ #10636 ]
- Résous les problèmes de modification des entrées et de verrouillage de la base de données [ #10667 ]
- Correction du texte du fichier clé lorsqu'il est fourni sur la ligne de commande [ #10642 ]
- Résous les problèmes de détection automatique des clés matérielles [ #10663 ]
- Ne remplace pas la taille de la police à espacement fixe [ #10282 ]
- Effectuer un tri de groupe uniquement lorsque la vue de groupe est active [ #10202 ]
- Ne pas afficher les décimales pour la taille des pièces jointes en octets [ #10595 ]
- Empêcher la fusion de données personnalisées globales lors de la fusion de bases de données [ #10452 ]
- Correction de problèmes de traduction mineurs [ #10635 ]
- Clés d'accès : correction de l'incompatibilité StrongBox [ #10420 ]
- Clés d'accès : définissez l'ID RP sur le domaine effectif s'il n'est pas défini au lieu de renvoyer une erreur [ #10384 ]
- Clés d'accès : diverses corrections et améliorations de l'interface utilisateur [ #10427 , #10608 , #10609 ]
- AppImage : Correction de l'ouverture de l'URL [ #10624 ]
- Flatpak : Correction du démarrage automatique de l'application [ #10563 ]
- Linux/macOS : Correction de la taille des boutons sur les popups d'alerte modale [ #10500 ]
- Linux : Correction de l'effacement du presse-papiers sur Wayland [ #10500 ]
- Windows : conserver l'attribut caché dans le fichier [ #10343 ]