Säkerhetsbrist i Keepass – huvudlösenord läcker via minnet

Ok, det är ju jättejobbigt, men det hör ju inte direkt hemma i den här tråden kan en tycka, du får tipsa sweclockers om det scoopet så kanske de skriver en artikel.

Bitwardens "default mode" sparar ju din databas i molnet. Men visst kan du skapa en egen "offline"-installation mha en lokal server. Kanske lite mer omständigt kan tyckas.

Utgångspunkten var ju att köra något open source. Klart det är mer omständligt än att köra något out of the box, det beror väl på vad som är viktigt för en.

Den jag svarade på frågade efter något som var offline.

Känns meningslöst med krypteringssnyckeln om jag lagrar den i samma mapp som databasen. Så jag kör inte den och vill inte krångla till det allt för mycket.

Så fort en myndighet rekommenderar ett system så vet man att det finns en väg in i systemet som myndigheten vill använda själva.

Det var någon stans mellan 8-16. Har/hade en cirka höftning på några av tecknen men jag uppskattade att i bästa fall lyckades skära ner vilken tecken uppsättning som skulle användas skulle det ta 1 månad konstant körning med ett 3070 kort.

Men det förutsätter att det ungefärliga lösenord som jag minns är måttligt korrekt. Har bara behållit databasen utifall det blir så att jag har flera kraftiga grafikkort eller en dator jag kan ha tuggandes i bakgrunden i framtiden.

Vem vet, om ett par år kanske man har köpt sig ett 6090ti för 87000kr och offrar en vecka eller två.

EU gjorde sin grundliga kodgranskning och certifiering av KeePass 2016 och då för v1.3, en version som inte har detta felet.

Nämnas bör att det finns en fixad version (som inte är tänkt för release, dock, utan testning) i forumtråden som de mest oroliga kanske bör uppdatera till.

yes det är sant, har tipsat dom om det och gett dom info etc

Tror inte en sekund på att man får full åtkomst till alla datorer i nätverket genom en bugg i en router. Då har man mycket större problem än routern om det skulle vara möjligt.

ingen bugg.

med åtkomst så menar han nog snarare att man kan få routern att routa din trafik till hela nätet oavsett filter i routern, inte att du kan komma in i varje maskin som sitter kopplade mot routern.

Gissningsvis så handlar detta om Horse Shell som är en hackad firmware till tp-link routrar där man ännu inte är 100 på hur Kineserna gör (för den kommer från Kina) för att stoppa in den firmwaren på andras routrar, men troligen handlar det om att de gissar sig till admin lösenord.

Dock hyfsat simpel att se om man har råkat få då den tar bort sidan för uppdatering av firmware helt i hopp om att hindra folk att rätta till det. Så ser man att den saknas så...

Ja det var ju en helt annan sak…

Vilka rättigheter krävs för att dumpa minnet från en elevated process? Om det krävs adminrättigheter så är det en nothing burger för min del (då jag alltid kör KeePass elevated).

Nyheter som dessa tenderar alltid att visas när jag börjar fundera på att ta tag i det där med att skaffa lösenordshanterare igen. Funderade på det så sent som igår kväll...