Birçok kişi tarafından kullanılan açık kaynaklı bir şifre yöneticisi olan KeePassXC’nin sağlam güvenlik özelliklerine ve hassas kullanıcı bilgilerini koruma kapasitesine sahip olduğu bilinmektedir. Öte yandan, CyberCitizen.tech tarafından yürütülen yeni araştırmalar, KeePassXC-Veritabanının güvenlik ayarlarında yapılan değişikliklerle ilgili endişeleri ortaya çıkardı. Güvenlik ayarlarında değişiklik yapılırken, CyberCitizen ve diğer kullanıcıların ana parola veya yapılandırılan ikinci faktör yoluyla bir onayın gerekli olmadığı dikkatine gelmiştir.
Bu çok dikkate değer bir keşif. CVE-2023-35866, çok uzun zaman önce KeePassXC’de bulunan kusurun adıdır. Windows, macOS ve Linux platformlarıyla çalışan açık kaynaklı bir parola yöneticisi olan KeePassXC indirilebilir. Diğer şeylerin yanı sıra kullanıcı adları, parolalar, URL’ler, dosyalar ve hatta kişisel notlar gibi çok çeşitli hassas bilgiler için bir havuz görevi görür. Şifrelenen ve çevrimdışı bir dosyada saklanan verileriniz, masaüstünüzdeki yerel bir klasörden bulutta barındırılan çözümlere kadar her yerde saklanabilir. Platform, kullanıcı tanımlı başlıkların, özelleştirilebilen simgelerin ve bir grup sisteminin sağlanması yoluyla etkin yönetime olanak tanır. Karmaşık model aramalarını destekleyen yerleşik bir arama aracı, veritabanındaki herhangi bir kayda herhangi bir zamanda hızlı bir şekilde erişilebilmesini sağlar. Ek olarak, KeePassXC, hatırlaması kolay karakterler veya parolalardan oluşan güvenli bir kombinasyon oluşturabilen çok yönlü bir parola oluşturucu ile donatılmıştır.
Endişe verici erişim kolaylığı, CVE-2023-35866 güvenlik açığının merkezinde yer alır. Kimliği doğrulanmış bir KeePassXC Veritabanı oturumu bağlamında, yerel bir saldırgan veritabanı güvenlik ayarlarını değiştirme yeteneğine sahiptir. Bu, ana parola ayarlarının yanı sıra bu değişikliklerin kimliğinin doğrulanması gerekmeden ikinci kimlik doğrulama faktörü ayarlarının değiştirilmesini içerir.
Şaşırtıcı bir şekilde, veritabanını dışa aktarmak veya ana parolada değişiklik yapmak için onay almak gerekli değildir. Potansiyel bir tehdit aktörü, yerel olarak veya uzaktan sisteme erişim sağladıktan sonra, tüm veritabanını hızlı bir şekilde dışa aktarabilir veya yol boyunca herhangi bir engelle karşılaşmadan şifreyi değiştirebilir.
KeePassXC’nin mevcut güvenlik özelliklerini iyileştirmek ve mevcut güvenlik açığını kapatmak için atılabilecek olası adımlardan bazıları şunlardır:
Ana Parolanın Onaylanması Güvenlik ayarlarında herhangi bir değişiklik yapıldığında, ana parola için gerekli bir onayın uygulanması esastır. Ana parolanın girilmesi gerekiyorsa, yalnızca ana parolaya sahip olan ve parolayı nasıl gireceğini bilen yetkili kullanıcılar temel güvenlik ayarlarında değişiklik yapabilir.
İkinci Faktörlü Kimlik Doğrulamanın Onayı Bir kuruluşun güvenlik ayarlarında değişiklik yaparken, mümkünse, ikinci faktörlü kimlik doğrulama onayına ihtiyaç duyulması önerilir. Bu, fiziksel bir anahtarın veya diğer 2FA tekniklerinden birinin kullanımını içerebilir. Sürece başka bir kimlik doğrulama derecesi eklediğinden, yalnızca uygun kimlik bilgilerine sahip olanlar bu adımı tamamladıktan sonra güvenlik ayarlarını değiştirebilecektir.
Bunun ışığında, KeePassXC’nin arkasındaki çalışkan ekip, sorunun şu anda geliştirilmekte olan KeePassXC’nin bir sonraki sürümünde çözüleceğine dair söz verdi.
Siber güvenlik çözümleri mimarı olarak çalışan Alisa, bug bounty ve ağ güvenliği konularına odaklanmaktadır. Bize katılmadan önce çeşitli siber güvenlik şirketlerinde siber güvenlik araştırmacısı pozisyonlarında bulundu. Ayrıca finans, sağlık ve tüketici ürünleri gibi farklı endüstri alanlarında deneyim sahibidir.