|
Auch in der derzeit aktuellen Version 2.33 ist die Update-Funktion
bei KeePass 2, eine Passwortverwaltung für Windows, kompromittierbar,
wie der Sicherheitsexperte Florian Bogner in einem Update seines
bereits im März veröffentlichten Blog-Beitrags
hinweist. Dabei ist nur die offizielle Windows-Variante betroffen,
aber nicht die inoffiziellen Portierungen wie die Mac-OS/Linux-Variante
KeePassX oder die Android-App KeePassDroid.
Auf Wunsch prüft KeePass regelmäßig, ob eine neue
Version verfügbar ist. Die Anwendung lädt dafür Versionsinformationen
mit einer unverschlüsselten Verbindung per HTTP von der Entwickler-Website
herunter. Wie sich die Anwendung mittels eines Man-in-the-Middle-Angriffs
täuschen lässt, sodass sie auf eine Version hinweist,
die nicht existiert, hatte Bogner anschaulich demonstriert. Zwar
läd KeePass nicht automatisch Updates herunter und öffnet
lediglich die ebenso nicht per HTTPS abgesicherte Website. Um Anwendern
beispielsweise eine manipulierte Version von KeePass unterzuschieben,
lässt sich diese Webseite somit ebenfalls per Man-in-the-Middle-Angriff
verändern.
Gerade ein sicherheitsrelevantes Tool wie ein Passwortmanager sollte
dem Anwender keine weiteren Risiken bescheren, kritisiert Bogner
zudem und empfiehlt dem KeePass-Entwickler Dominik Reichl die komplette
Umstellung auf HTTPS. Auf Anfrage hatte Reichl dem Sicherheitsexperten
unter anderem geringere Werbeeinnahmen als Grund für das Festhalten
an HTTP mitgeteilt. Er verspricht im Diskussionsforum
auf Sourceforge, auf HTTPS umzustellen, sobald es ihm möglich
sei.
In dem Beitrag empfiehlt KeePass-Schöpfer Reichl, bei jedem
Update die digitale Signatur der Software zu überprüfen,
indem der Reiter "Digitale Signaturen" Datei-Eigenschaften
über das Kontextmenü des Explorers geöffnet wird.
Das Programm und der Installer seien entsprechend signiert. Der
Entwickler macht aber keine Angaben zu den korrekten Zertifikaten.
Die Updates sollten immer direkt
von Sourceforge geladen werden und es sollte den Update-Hinweisen
der Anwendung nicht blind gefolgt werden. Am Besten ist es, den
automatischen Check auf Updates abzuschalten.
(ts, hannover)
(siehe auch heise-News-Ticker:)
Hannover · EDV-Beratung ·
Linux · Novell · Microsoft · Seminar ·
IT-Consult · Netzwerk · LPIC · CLE
|
