Поддържателят, осигуряващ създаването на Debian пакети с паролни мениджъри KeePassXC, премина на предлагане на максимално опростена версия на програмата, в която е оставена само основната функционалност, необходима за безопасно съхранение на пароли в локалната система. Разширените функции, сред които възможност за мрежова интеракция, код за управление чрез IPC, компоненти за интеграция с уеб браузъри, функции за автоматично въвеждане на пароли и код за поддръжка на Yubikey ключове, са премахнати от стандартния пакет keepassxc, което е обяснено с избавянето от излишната функционалност, която увеличава повърхността на атака и потенциално може негативно да повлияе на сигурността и конфиденциалността.
За потребителите, на които им е необходима пълната версия на KeePassXC, е предложен отделен пакет keepassxc-full, включващ всички разширени възможности, предлагани в оригиналната версия. Опростеният пакет е разположен в репозиториите на Debian sid (нестабилна) и testing вместо стария пълен пакет с същото име, което предизвика възмущение у някои потребители, които след обновление се сблъскаха с липсата на позната функционалност и възприеха промяната като грешка. Недоволните от промяната предлагат на поддържателя на KeePassXC в Debian да върне оригиналната версия на пакета, а опростената версия да бъде разположена под името keepassxc-minimal.
С критика на взетото решение се изказа и разработчикът на KeePassXC, който отбеляза, че потребителите свързват изчезването на функционалността с основния проект и отправят оплаквания към разработчиците на KeePassXC, а не към поддържателя на пакета в Debian. Промяната може негативно да се отрази на репутацията на KeePassXC и да доведе до допълнителна натовареност на участниците в проекта. Освен това, поставен е въпросът колко е оправдано да се разпространява пакет с запазване на името на проекта, но с коренно различна функционалност от основната версия, предоставяна от основните разработчици.
В дискусията поддръжниците на промяната посочват, че всеки включен плъгин потенциално води до допълнителен риск от наличие на уязвимости или внедряване на бекдор. Освен това, се отбелязва, че опростеният пакет е разположен само в репозиториите на нестабилна и testing, предназначени за тестване, а не в стабилните версии на дистрибуцията.
Разработчиците на KeePassXC обясниха, че използването на термина плъгини за отдалечени допълнителни функции е неправилно, тъй като това е вградена функционалност, която по подразбиране е изключена, но може да бъде активирана в настройките от потребителя. Споменаването на избавянето от външни библиотеки също се отбелязва като безпочвено, тъй като кодът за поддръжка на Yubikey вече не зависи от външната библиотека libyuibkey и всички необходими компоненти за неговата работа са включени в основната кодова база на KeePassXC.
Източник: opennet.ru
