Der quelloffene Passwort-Manager KeePassXC ist in Version 2.7.12 erschienen. Das Release behebt mehrere Sicherheitsprobleme, allen voran einen Schutz gegen DLL-Injection-Angriffe unter Windows. Außerdem bringt es funktionale Erweiterungen, darunter TOTP-Unterstützung in Auto-Type und verschachtelte Ordner beim Bitwarden-Import.

Wie die Entwickler in ihrem Release-Blog mitteilen, enthält die neue Version Mitigationen gegen Exploits über manipulierte OpenSSL-Konfigurationsdateien auf Windows. Bei einer DLL-Injection schleusen Angreifer bösartige Dynamic Link Libraries in den Adressraum eines laufenden Prozesses ein, um beliebigen Code auszuführen oder Rechte zu erhöhen. KeePassXC 2.7.12 verhindert nun, dass OpenSSL-Konfigurationen als Angriffsvektor für solche Injektionen missbraucht werden.

Passkey-Flags ändern sich – Vorsicht beim Update

Eine potenziell aufwendige Änderung betrifft Passkeys: KeePassXC speichert jetzt die Flags Backup Eligibility (BE) und Backup State (BS) mit jedem Eintrag. Das BE-Flag zeigt an, ob ein Passkey als Multi-Device-Credential gesichert und synchronisiert werden kann, das BS-Flag markiert den aktuellen Sicherungsstatus. Bisher waren beide Werte fest auf false gesetzt, ab Version 2.7.12 stehen sie standardmäßig auf true. Die Entwickler warnen ausdrücklich: „Dies könnte bestehende Passkeys brechen, für die die Flags nicht gespeichert wurden, da die Werte als unveränderlich gelten.“

Wer nach dem Update Probleme mit bestehenden Passkeys feststellt, kann den vorherigen Zustand wiederherstellen, indem er unter „Advanced“ zwei String-Attribute manuell hinzufügt: KPEX_PASSKEY_FLAG_BE=0 und KPEX_PASSKEY_FLAG_BS=0. Zusätzlich wird nun der publicKey in die Register-Response für Passkeys aufgenommen.

TOTP-Platzhalter und verbesserter Browser-Dialog

KeePassXC 2.7.12 unterstützt jetzt {TIMEOTP} als Platzhalter in Auto-Type-Sequenzen und als Entry-Platzhalter. TOTP (Time-based One-Time Password) ist ein RFC 6238 spezifizierter Algorithmus, der aus einem gemeinsamen geheimen Schlüssel und der aktuellen Systemzeit zeitbasierte Einmalpasswörter generiert – typischerweise alle 30 Sekunden. Nutzer können damit automatisch den aktuellen TOTP-Code in Login-Formulare einfügen lassen, ohne ihn händisch aus einer Authenticator-App ablesen zu müssen.

Im Browser-Zugriffsdialog zeigt KeePassXC nun die abgeglichenen URLs in einem Tooltip an. So lässt sich leichter verifizieren, welche Websites tatsächlich Zugriff auf gespeicherte Zugangsdaten anfordern. Außerdem validiert die neue Version die Haupt-Entry-URL bei der Verwendung von Platzhaltern und speichert browserbezogene Werte korrekt in den customData-Feldern.

Bitwarden-Import mit verschachtelten Ordnern

Wer von Bitwarden zu KeePassXC migriert, kann mit der neuen Version auch verschachtelte Ordner übernehmen. Bitwarden nutzt einen Schrägstrich als Trennzeichen für hierarchische Ordnerstrukturen, etwa „Socials/Forums“. KeePassXC 2.7.12 bildet diese Hierarchie beim Import korrekt ab, sodass die Vault-Struktur erhalten bleibt.

Weitere Bugfixes

Unter Linux haben die Entwickler eine Änderung rückgängig gemacht, die eine Race-Condition in der Auto-Type-Funktion verursachte. Darüber hinaus behebt das Release diverse kleinere Probleme: Die Anzeige des Kontrollkästchen-Werts in den Browser-Integrations-Einstellungen stimmt jetzt, Font- und Theme-Darstellung wurden korrigiert, der „Entfernen“-Button in den Plugin-Daten funktioniert wieder ordnungsgemäß, und Dateinamen werden vor dem Speichern von Anhängen bereinigt.

KeePassXC 2.7.12 steht für Windows, Linux und macOS auf der Projektseite zum Download bereit.

(fo)

Heute ist es soweit: Das MacBook Neo geht in die Auslieferung bei Vorbestellern, außerdem kommt es in die Apple-Läden und den Einzelhandel. Das billigste macOS-Notebook aller Zeiten kommt mit einigen Kompromissen, wie unser Test des Macbook Neo zeigt. Käufer müssen sich bewusst sein, dass sie zum Preis ab 699 Euro (799 Euro maximal mit 512 GByte statt 256 GByte und Touch-ID-Funktion) kein Topgerät erhalten. Das Gesamtpaket dürfte den Markt dennoch aufwirbeln.

Vergleiche mit anderen Macs – und Apples Einsteiger-Smartphone

Beispiel SSD: Insbesondere die Variante mit 256 GByte lahmt. Moderne Mac-SSDs wie etwa die im MacBook Air M5 erreichen das vierfache Tempo, in einzelnen Benchmarks sind sogar bis zu achtmal mehr Leistung drin (MacBook Pro M5 Max mit 4 TByte). Ein Test ergab, dass das MacBook Air mit M1 und 512 GByte doppelt so schnell lesen konnte. Allerdings liegen uns bislang noch keine Daten zur 512-GByte-Variante des Neo vor. Üblicherweise sind größere SSDs schneller als kleinere, da Apple diese anders anbindet. Ob das bei iPhone-Chips wie im Neo auch der Fall ist, muss sich noch zeigen.

Wenig überraschend ist außerdem, dass der Chip (SoC) im Neo bereits vom iPhone 17e, Apples aktuellem Einsteiger-Smartphone, überholt wird. Im Neo steckt ein A18 Pro, der dem im iPhone 16 Pro entspricht, abzüglich eines GPU-Kerns (5 statt 6). Im iPhone 17e spielt hingegen der neuere A19 aus dem iPhone 17. Im Geekbench-Vergleich kommt das 17e so auf einen Mehr-Kern-Score von bis zu 9541, während das Neo leicht darunter liegt. Auch beim Einzel-Kern-Test liegt das 17e mit gut 200 Punkten vor dem Neo.

Das MacBook Air M4 ist ein Tipp

Die Frage ist nun, was das für die Praxis bedeutet. Im Mac & i-Test des Neo zeigte sich, dass Apple mit dem Neo ein interessantes Notebook gelungen ist: Die Verarbeitung ist Apple-typisch hochwertig, der Bildschirm in der Einstiegsklasse konkurrenzlos. Andere Tester kamen im Alltag gut mit dem Gerät klar, nutzten es sogar für – relativ ruckelfreien – Videoschnitt.

Ein Tipp bleibt allerdings, sich auch das MacBook Air M4 anzusehen, das Apple nun in den Abverkauf geschickt hat, im Handel aber noch recht gut zu kriegen ist. Die Hardware ist noch besser verarbeitet, genauso leicht, hat bessere Schnittstellen, Tastatur mit Hintergrundbeleuchtung und ist deutlich flotter. Der Preis: Für das 256-GByte-Modell unter 900 Euro, die 512-GByte-Variante kostet unter 1000 Euro.

(bsc)

Kritische Infrastrukturen (KRITIS) unterliegen nach § 8a Abs. 1 BSIG besonderen Sicherheitsanforderungen. Die Betreiber dieser Unternehmen und öffentlichen Einrichtungen sind verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig nachzuweisen, dass ihre IT-Sicherheit dem aktuellen Stand der Technik entspricht. Dazu müssen sie angemessene organisatorische und technische Maßnahmen ergreifen, um Störungen zu vermeiden, die die Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität ihrer IT-Systeme gefährden können.

Workshop inklusive Abschlussprüfung

In unserem zweitägigen Workshop KRITIS: Zusätzliche Prüfverfahrenskompetenz für § 8a BSIG erhalten Sie einen umfassenden Überblick über die Anforderungen von KRITIS und können sich gezielt auf Prüfungen für § 8a BSIG vorbereiten. Nach bestandener Abschlussprüfung am Ende der Schulung erhalten die Teilnehmenden die Zusatzqualifikation „Spezielle Prüfverfahrenskompetenz für § 8a BSIG“. Damit sind sie berechtigt, Sicherheitsprüfungen für § 8a BSIG im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik durchzuführen.

Der Workshop wird von Fatih Yilmaz geleitet. Als Senior Consultant bei der HiSolutions AG verantwortet er dort das Themenfeld „Kritische Infrastrukturen“ nach BSI-Gesetz und unterstützt Unternehmen als zertifizierter Information Security Officer (TÜV) sowie zertifizierter IT-Grundschutz Praktiker bei der Vorbereitung und Durchführung von KRITIS-Prüfungen.

Dieser iX-Workshop folgt dem BSI-Schulungskonzept und richtet sich insbesondere an Auditoren wie interne Revisoren, Revisoren, Wirtschaftsprüfer mit IT-Revisionserfahrung sowie Mitarbeitende von Revisionsgesellschaften und Betreibern kritischer Infrastrukturen. Um einen intensiven Austausch untereinander und eine optimale Vorbereitung auf die Prüfung und Zertifizierung zu ermöglichen, ist diese Schulung auf 12 Teilnehmende beschränkt.

(ilk)