Author: Lorenzo Spada Android Blog Italia
Qualche giorno fa vi abbiamo spiegato cos’è un password manager e a cosa serve. Adesso entriamo un po’ più nel dettaglio analizzando quello che, a nostro avviso, è il password manager più sicuro di tutti. Stiamo parlando di KeePass.
L’obiettivo di un password manager è quello di tenere al sicuro tutte le credenziali che abbiamo nei vari servizi online e applicazioni. Tuttavia, le funzioni di un password manager possono essere viste sotto tre aspetti ben distinti:
- Sicurezza
- Versatilità
- Interoperabilità
Con KeePass si ha il massimo punteggio nel campo della sicurezza e dell’interoperabilità, dal momento che è stato sviluppato in maniera tale da essere uno standard comune e il codice sorgente è disponibile per chiunque voglia scaricarlo o modificarlo.
Cos’è KeePass e come funziona
KeePass è un password manager sviluppato inizialmente per Windows ma, nel tempo, è stato reso disponibile anche su macOS e Linux. Sul fronte Android e iOS, pur non esistendo un client ufficiale sono disponibili molte versioni di terze parti ampiamente apprezzate dalla community di esperti informatici.
La funzionalità principale di KeePass, che alcuni vedono come il principale pregio mentre altri il principale difetto, è il suo essere offline. L’applicazione non richiede alcuna connessione a internet e funziona localmente su computer e smartphone. Ciò lo rende perfetto per la sicurezza, dal momento che le password non vengono mai memorizzate sul cloud e non transitano mai su internet.
L’accesso al database è limitato da una master password o da un file chiave. Entrambi i metodi possono essere combinati per creare una “chiave master composita”. Se vengono utilizzati entrambi i metodi, entrambi devono essere presenti per accedere al database delle password.
Crittografia di stampo militare
KeePass crittografa il database con il codice simmetrico AES, Twofish o ChaCha20, dove i primi due vengono utilizzati in modalità CBC/PKCS7. AES è l’opzione predefinita, mentre Twofish è disponibile in KeePass 1.x, ChaCha20 è disponibile solo in KeePass 2.35 e versioni successive. In KeePass 1.x (formato database KDB), l’integrità dei dati viene verificata utilizzando un hash SHA-256 del testo in chiaro, mentre in KeePass 2.x (formato database KDBX), l’autenticità dei dati è garantita utilizzando un HMAC -SHA-256 hash del testo cifrato (costruzione Encrypt-then-MAC).
Importare ed esportare le password
Non avendo alcun accesso a internet, nella sua forma base (senza plugin) è impossibile sincronizzare le password fra più dispositivi. Fortunatamente KeePass ha degli ottimi strumenti di importazione ed esportazione crittografata delle password.
L’elenco delle password viene salvato per impostazione predefinita come file .kdbx, ma può essere esportato in TXT, HTML, XML e CSV. L’output XML può essere utilizzato in altre applicazioni oppure reimportato nel password manager stesso utilizzando un plug-in. I dati in CSV possono essere importati da applicazioni per fogli di calcolo come Microsoft Excel o OpenOffice/LibreOffice Calc. Il supporto del formato file può essere ampliato tramite l’uso dei plug-in KeePass.
KeePass su Android
Come detto in precedenza, KeePass è ufficialmente disponibile solo per Windows ma esistono dei porting per altri sistemi operativi. Nel caso di Android, le migliori soluzioni sono rappresentate da KeePass2Android, KeePassDX e KeePassDroid. In tutti i casi si tratta di applicazioni gratuite e ampiamente supportate.