KeePassXC: disponibile la nuova versione del password manager open source

Il password manager open source KeePassXC compie un importante passo avanti con il rilascio della versione 2.8.0, disponibile per Windows, Linux e macOS. L’aggiornamento introduce nuove funzionalità per la gestione delle credenziali, migliora l’integrazione con i sistemi operativi e corregge diverse vulnerabilità di sicurezza, alcune delle quali interessano la comunicazione con i browser e l’importazione degli archivi di password. Tra le novità più attese figurano il supporto alla digitazione automatica su Wayland, la sincronizzazione dei database mediante strumenti esterni, lo sblocco rapido su Linux e macOS e una nuova versione nativa per i dispositivi Windows ARM64.

KeePassXC nasce come evoluzione del progetto KeePassX e si distingue dai gestori di password basati prevalentemente sul cloud per una caratteristica precisa: le credenziali rimangono all’interno di un database cifrato, generalmente in formato KDBX, che l’utente può conservare e gestire autonomamente. La compatibilità con la famiglia KeePass consente di utilizzare gli stessi archivi anche con altri programmi che supportano il formato.

Finalmente la digitazione automatica delle password funziona anche su Wayland

Per gli utenti Linux, la novità più interessante riguarda il supporto all’Auto-Type su Wayland: la digitazione automatica consente a KeePassXC di inserire nome utente, password e altri dati nelle applicazioni, simulando una sequenza di input da tastiera.

Sotto X11, il tradizionale sistema grafico di Linux, un’applicazione poteva interagire relativamente facilmente con le finestre di altri programmi e generare eventi di input sintetici.

Wayland adotta invece un modello più restrittivo: i client non possono normalmente controllare le finestre altrui né simulare liberamente la pressione dei tasti. Una scelta che limita diverse tecniche di intercettazione e manipolazione dell’input, ma che ha complicato il funzionamento dei password manager.

KeePassXC 2.8.0 affronta il problema utilizzando gli XDG Desktop Portals, interfacce che permettono alle applicazioni di richiedere determinate operazioni attraverso servizi controllati dall’ambiente desktop. Anziché presumere di poter inviare direttamente tasti a qualsiasi finestra, KeePassXC sfrutta le funzionalità messe a disposizione dal sistema grafico per gestire l’automazione dell’input.

Database KeePassXC sincronizzati con strumenti esterni: cosa cambia

Un’altra novità riguarda la possibilità di sincronizzare e importare database remoti utilizzando strumenti esterni. KeePassXC rafforza così uno dei suoi principi fondamentali: mantenere separata la gestione delle credenziali dal servizio incaricato di trasferire i file tra dispositivi.

Un database KDBX è un archivio cifrato che può risiedere su un disco locale, su un NAS oppure all’interno di una cartella sincronizzata. La nuova funzionalità permette di integrare operazioni di importazione e sincronizzazione con programmi esterni, senza trasformare KeePassXC in un servizio cloud proprietario.

Sincronizzare un file cifrato non equivale a gestire automaticamente ogni conflitto: se due dispositivi modificano lo stesso database prima di ricevere gli aggiornamenti reciproci, il trasferimento del file può produrre versioni divergenti. La possibilità di utilizzare gli strumenti di sincronizzazione del gestore deve quindi accompagnarsi a una corretta gestione delle copie e delle modifiche concorrenti.

Rimane inoltre opportuno distinguere la riservatezza del contenuto cifrato dalla disponibilità dei dati: un servizio remoto può conservare il database senza conoscerne la password principale, ma problemi di sincronizzazione, cancellazioni accidentali o modifiche malevole possono comunque compromettere l’accessibilità dell’archivio. Per tale ragione, backup indipendenti e versionati continuano a rappresentare una precauzione importante.

Come sincronizzare le password tra più computer

Il programma permette, come abbiamo spiegato al paragrafo precedente, di configurare comandi esterni per scaricare un archivio cifrato, confrontarne il contenuto con quello locale e trasferire sul server il database aggiornato.

Immaginiamo di utilizzare KeePassXC su due computer, uno a casa e l’altro in ufficio, e di conservare una copia del database password.kdbx su un NAS raggiungibile tramite SSH. Quando aggiungiamo una password dal computer di casa, possiamo sincronizzare l’archivio con il NAS; successivamente, dal PC dell’ufficio, possiamo recuperare le modifiche e aggiungere altre credenziali, mantenendo allineati i due database.

Per configurare la nuova funzione bisogna aprire Database, Impostazioni database, Remoto e definire un profilo di sincronizzazione, assegnargli un nome e specificare due comandi: uno per il download del database remoto e uno per il caricamento della versione aggiornata.

Ad esempio, utilizzando SCP (Secure Copy Protocol), possiamo impostare il comando di download scp utente@nas:/archivi/password.kdbx "{TEMP_DATABASE}" e quello di upload scp "{TEMP_DATABASE}" utente@nas:/archivi/password.kdbx.

Sono esempi da adattare al proprio server, al percorso del database e alla sintassi supportata dal sistema operativo. Il segnaposto {TEMP_DATABASE} ha un ruolo fondamentale: KeePassXC lo sostituisce con il percorso del file temporaneo utilizzato durante la sincronizzazione.

Avvio della sincronizzazione remota

Una volta salvata la configurazione, il profilo compare nel menu Database, Sincronizzazione remota: selezionandolo, KeePassXC esegue il comando di download, utilizza il database remoto per la sincronizzazione con quello aperto e avvia il comando di upload. Il programma dispone già di un meccanismo di fusione delle modifiche che confronta le voci in base agli identificativi UUID e alle date di modifica: le nuove credenziali possono quindi aggiungersi a quelle esistenti e, quando due versioni della stessa voce differiscono, prevale quella modificata più recentemente, con conservazione della precedente nella cronologia secondo le impostazioni dell’archivio.

Lo stesso profilo può essere configurato sul secondo computer, utilizzando il medesimo database remoto.

In pratica, i due PC continuano a lavorare sulle rispettive copie locali e il NAS funge da punto di scambio. La novità non consiste quindi nel semplice trasferimento di un file: KeePassXC integra la sincronizzazione dei record con gli strumenti utilizzati per raggiungere il server.

Non è affatto obbligatorio usare SCP: si può ricorrere anche a strumenti come rsync e altri programmi da riga di comando capaci di scaricare e caricare un file remoto.

Qualche accortezza in tema di sincronizzazione

Resta un limite importante: la sincronizzazione non è un’operazione atomica. Se un altro dispositivo modifica il database sul NAS nell’intervallo tra il download e il successivo upload, KeePassXC può sovrascrivere quelle modifiche. È perciò preferibile sincronizzare prima di iniziare a lavorare su un dispositivo e ripetere l’operazione dopo aver salvato le modifiche, evitando interventi contemporanei sullo stesso archivio.

Chi preferisse una soluzione più semplice può continuare a utilizzare una cartella condivisa di OneDrive, Dropbox, Nextcloud o Syncthing: basta conservare il database KDBX al suo interno e aprire sui diversi computer la copia sincronizzata.

In questi casi, tuttavia, è il servizio esterno a prendersi in carico il trasferimento dei file, mentre KeePassXC gestisce il contenuto dell’archivio e permette eventualmente di unire copie divergenti tramite la funzione di fusione dei database.

Sblocco rapido su Linux e macOS: meno operazioni senza eliminare la password principale

KeePassXC 2.8.0 amplia le possibilità di Quick Unlock, la funzione che consente di riaprire più rapidamente un database precedentemente sbloccato.

Su Linux arriva l’integrazione con Polkit, il componente utilizzato da numerose distribuzioni per gestire le autorizzazioni e le richieste di autenticazione delle applicazioni. Il nuovo meccanismo permette di sfruttare le capacità di autenticazione offerte dal sistema, riducendo la necessità di digitare ripetutamente la password principale.

Gli sviluppatori segnalano una particolarità tecnica: la funzione aggiunge un identificatore UUID ai metadati pubblici del database. Alla prima attivazione, quindi, KeePassXC può contrassegnare l’archivio come modificato anche senza cambiamenti alle password memorizzate.

Su macOS, invece, lo sblocco rapido può utilizzare la password del dispositivo quando Touch ID non risultasse disponibile. È un’alternativa utile sui Mac privi di lettore biometrico oppure quando l’autenticazione tramite impronta digitale non può essere utilizzata.

5 vulnerabilità corrette: i rischi per le password e l’integrazione con i browser

Accanto alla novità di termini di caratteristiche, il nuovo KeePassXC introduce tutta una serie di correzioni di sicurezza: per questo motivo, gli utenti dell’applicazione sono invitati ad aggiornare quanto prima.

Le 5 vulnerabilità sanate non permettono di sottrarre le password senza interazione dell’utente: i problemi risolti coinvolgono componenti e condizioni operative differenti.

Alcuni richiedono l’importazione di un file appositamente manipolato, altri interessano l’integrazione con il browser o presuppongono la presenza di un programma malevolo già in esecuzione sul computer. L’installazione dell’aggiornamento di KeePassXC è però fortemente consigliata.

Tra le vulnerabilità più interessanti figura quella descritta nell’advisory GHSA-2vm2-vmc3-vccr, che interessa l’integrazione con l’estensione KeePassXC-Browser.

KeePassXC supporta meccanismi che consentono a una credenziale di richiamare informazioni conservate in un altro record. Una funzionalità legittima, utile per evitare duplicazioni, che diventa però pericolosa quando un componente esterno riesce a introdurre riferimenti non autorizzati.

In assenza della patch, una pagina Web malevola può predisporre un modulo di autenticazione in modo che il salvataggio delle credenziali introduca riferimenti a dati appartenenti ad altre voci del database: nomi utente, password, note e ulteriori attributi. Quando l’utente utilizza successivamente quelle credenziali, il completamento dei campi avrebbe potuto risolvere i riferimenti e inserire nel modulo informazioni provenienti da altri account. Il sito attaccante avrebbe insomma cercato di trasformare una normale procedura di salvataggio e riutilizzo delle credenziali in un canale di esfiltrazione dei dati.

Come aggiornare KeePassXC senza perdere le password

La nuova versione del password manager è disponibile nella pagina ufficiale di KeePassXC, oltre che attraverso Microsoft Store, il PPA Ubuntu del progetto e Flathub. Il rilascio completo, con le note tecniche e i pacchetti distribuiti dagli sviluppatori, compare anche su GitHub.

Prima dell’installazione è consigliabile creare una copia di sicurezza dei propri database KDBX, preferibilmente su un supporto o in una posizione separata rispetto al file tipicamente utilizzato. La copia deve includere anche eventuali file chiave necessari per l’apertura dell’archivio, conservandoli con le opportune precauzioni.

Su Windows è opportuno verificare l’architettura del computer prima di scegliere il pacchetto: x64 per i normali sistemi Intel e AMD a 64 bit, ARM64 per le macchine Windows basate su processori ARM. Su Linux, invece, bisogna considerare il formato di distribuzione e la disponibilità della nuova versione nei repository utilizzati.

Chi utilizza KeePassXC-Browser dovrebbe controllare anche lo stato dell’estensione e verificare il corretto funzionamento dell’associazione con il programma desktop dopo l’aggiornamento. Lo stesso vale per chi sfrutta l’agente SSH, lo sblocco rapido o database condivisi fra più computer.