Údržbář, který zajišťuje sestavení pro Debian balíčky s manažery hesel KeePassXC, přešel na dodávku maximálně zjednodušené verze programu, ve které zůstala pouze základní funkcionalita potřebná pro bezpečné uchování hesel na lokálním systému. Pokročilé funkce, mezi nimiž je možnost síťové interakce, kód pro správu prostřednictvím IPC, komponenty pro integraci s webovými prohlížeči, funkce automatického zadávání hesel a kód pro podporu klíčů Yubikey, byly odstraněny ze standardního balíčku keepassxc, což je vysvětleno odstraněním nadbytečné funkcionality, která zvyšuje plochu útoku a potenciálně může negativně ovlivnit bezpečnost a soukromí.
Pro uživatele, kteří potřebují plnou verzi KeePassXC, je navržen samostatný balíček keepassxc-full, který zahrnuje všechny funkce nabídnuté v původní verzi. Zjednodušený balíček je umístěn v repozitářích Debian sid (unstable) a testing místo starého plného balíčku se stejným názvem, což vyvolalo rozhořčení některých uživatelů, kteří po aktualizaci čelili nedostatku obvyklé funkcionality a vnímali změnu jako chybu. Nespokojení navrhuji údržbáři KeePassXC v Debianu vrátit původní variantu balíčku a zjednodušenou verzi umístit pod názvem keepassxc-minimal.
S kritikou přijatého rozhodnutí vystoupil také vývojář KeePassXC, který poznamenal, že uživatelé spojují ztrátu funkcionality se základním projektem a obracejí se se stížnostmi na vývojáře KeePassXC, nikoli na údržbáře balíčku v Debianu. Změna může negativně ovlivnit reputaci KeePassXC a vést k nadměrnému zatížení účastníků projektu. Navíc byl vznesen dotaz na to, jak oprávněné je distribuovat balíček s zachováním názvu projektu, ale s radikálním rozdílem v funkcionalitě od základní sestavy poskytované hlavními vývojáři.
V diskusi zastánci změny poukazují na to, že každý zahrnutý plugin potenciálně přináší dodatečné riziko přítomnosti zranitelností nebo zavedení zadního vchodu. Dále je uvedeno, že zjednodušený balíček je umístěn pouze v repozitářích unstable a testing, určených pro testování, a nikoli ve stabilních verzích distribuce.
Vývojáři KeePassXC vysvětlili, že použití termínu pluginy pro vzdálené další funkce je nesprávné, protože se jedná o vestavěnou funkčnost, která je ve výchozím nastavení vypnuta, ale může být aktivována uživateli v nastavení. Zmínka o odstranění externích knihoven je také označována za neopodstatněnou, protože kód pro podporu Yubikey již není závislý na externí knihovně libyuibkey a všechny potřebné komponenty jsou dodávány v hlavní kódové základně KeePassXC.
Zdroj: opennet.ru
