Versión 2.1
Estos documentos se revisaron por última vez para sysPass 3.0.0 y puede que no describan la versión actual.
Esta versión incluye mejoras en la seguridad de sysPass mediante las siguientes funcionalidades:
- Uso de la librería Defuse/php-encryption para la encriptación de datos con OpenSSL usando AES-256 CTR (CVE-2017-5999)
- Mejoras en la seguridad de las claves de sesión
- Clave para autorizaciones API
- Mejoras en la seguridad de los enlaces públicos
- Detección de intentos de acceso fallidos. Se introduce un retardo después de varios intentos
Esta actualización requiere de la reencriptación de todas las cuentas y datos encriptados, por lo que es necesaria la clave maestra y un login de usuario válido para registrar los cambios.
Aunque el proceso es seguro, es recomendable hacer una copia de seguridad completa de sysPass.
Cambios Importantes
Debido a los cambios en la encriptación de datos, los siguientes elementos han de ser renovados:
- Enlaces públicos: los enlaces son instantáneas de la cuenta enlazada, por lo que si se actualiza, es necesario renovar el enlace.
- Autorizaciones API: A partir de esta versión es necesaria una clave para las autorizaciones que requieran de datos encriptados.
- Clave maestra temporal: es necesario regenerarla si es usada.
Proceso
Para la actualización de sysPass son necesarios los siguientes pasos:
- Descargar la aplicación desde https://github.com/nuxsmin/sysPass/releases y descomprimir los archivos
- Establecer el propietario y permisos del directorio de sysPass
- Copiar los archivos (“config.xml”, “key.pem” y “pubkey.pem”) del directorio “config” de la versión actual a la nueva
- Acceder desde un navegador a la aplicación
Si la aplicación requiere de actualización de la base de datos:
- Realizar una copia de seguridad de la base de datos
- Introducir el código de actualización que se encuentra en el archivo “config/config.xml” con la etiqueta “upgradeKey”
- Introducir la clave maestra de sysPass
- Introducir un login de usuario válido
Note: Durante la actualización se mostrará el progreso de las tareas de encriptación
Note: Tras la actualización, se mostrará un mensaje y en el registro de eventos se pueden revisar los detalles de la actualización