顶级密码管理器否认其整个数据库可能被盗

不是我们的问题

当受害者打开 KeePass 并输入主密码来访问其保管库时，这将触发将数据库导出到黑客可以窃取的文件。该过程在后台悄悄地进行其业务，而不通知 KeePass 或您的操作系统，因此不需要验证或身份验证，让受害者不知情。

用户在 Sourceforge论坛已要求 KeePass 实现在允许导出之前输入主密码的要求，或者默认禁用导出功能并要求主密码才能重新启用它。

该漏洞的可行利用已经在网上共享，因此恶意软件开发人员进一步开发该漏洞并使其广泛传播只是时间问题。

虽然不否认 CVE-2023-24055 漏洞的存在，但 KeePass 的论点是它无法防范已控制您系统的威胁行为者。他们表示，对用户系统具有写入权限的威胁行为者可以通过各种无法阻止的手段窃取他们的密码库。

早在 2019 年 XNUMX 月，它就被描述为“对配置文件的写入访问”问题，KeePass 声称这不是与密码管理器本身相关的漏洞。

开发人员表示，“拥有对 KeePass 配置文件的写入权限通常意味着攻击者实际上可以执行比修改配置文件更强大的攻击（这些攻击最终也会影响 KeePass，独立于配置文件保护）” 。

“只有保持环境安全（使用防病毒软件、防火墙、不打开未知电子邮件附件等）才能防止这些攻击。 KeePass 无法在不安全的环境中神奇地安全运行”，他们补充道。

虽然 KeePass 不愿意添加任何额外的保护措施来防止未经授权导出 XML 文件，但用户可以尝试一种解决方法。如果他们以用户管理员身份登录，则可以创建强制配置文件，从而防止触发导出。在激活管理员帐户之前，他们首先必须确保其他人没有对 KeePass 文件和目录的写入权限。

然而，即使这样也不是万无一失的，因为攻击者可以在与强制配置文件存储位置不同的另一个目录中运行 KeePass 可执行文件的副本，这意味着，根据 KeePass 的说法，“该副本不知道该强制配置文件存储在其他地方，[因此]不会强制执行任何设置。”

想要严格锁定您的系统吗？那么您应该考虑使用最好的安全密钥

三星 Galaxy Z Flip 5 预告片在 Galaxy Unpacked 活动之前展示了新的铰链设计和颜色选项