Debian hat auf die Bereitstellung einer abgespeckten Variante des Passwortmanagers KeePassXC umgestellt.

Der Maintainer, der für den Bau von Debian-Paketen mit den Passwortmanagern KeePassXC verantwortlich ist, hat auf die Bereitstellung einer maximal abgespeckten Version des Programms umgestellt, die nur die grundlegenden Funktionen enthält, die für die sichere Speicherung von Passwörtern auf einem lokalen System erforderlich sind. Erweiterte Funktionen, zu denen Netzwerkintegration, Code für die Verwaltung über IPC, Komponenten zur Integration mit Webbrowsern, Funktionen zum automatischen Ausfüllen von Passwörtern und Code zur Unterstützung von Yubikeys gehören, wurden aus dem Standardpaket keepassxc entfernt, was durch die Beseitigung überflüssiger Funktionen erklärt wird, die die Angriffsfläche vergrößern und potenziell negative Auswirkungen auf die Sicherheit und den Datenschutz haben können.

Für Benutzer, die die vollständige Version von KeePassXC benötigen, wurde ein separates Paket keepassxc-full angeboten, das alle in der Originalversion verfügbaren erweiterten Funktionen enthält. Das abgespeckte Paket ist in den Debian-Repositories sid (unstable) und testing anstelle des alten vollständigen Pakets mit demselben Namen verfügbar, was zu Unmut einiger Benutzer führte, die nach dem Update auf das Fehlen gewohnter Funktionen stießen und die Änderung als Fehler wahrnahmen. Unzufriedene Benutzer fordern vom KeePassXC-Maintainer in Debian, die ursprüngliche Version des Pakets zurückzubringen und die abgespeckte Version unter dem Namen keepassxc-minimal bereitzustellen.

Der Entwickler von KeePassXC hat ebenfalls Kritik an der getroffenen Entscheidung geübt, da Benutzer das Fehlen von Funktionen mit dem Hauptprojekt in Verbindung bringen und Beschwerden an die Entwickler von KeePassXC richten, anstatt an den Maintainer des Pakets in Debian. Diese Änderung könnte sich negativ auf den Ruf von KeePassXC auswirken und zu einer zusätzlichen Belastung der Projektmitglieder führen. Zudem wurde die Frage aufgeworfen, wie rechtmäßig es ist, ein Paket unter Beibehaltung des Projektnamens zu verbreiten, jedoch mit einer grundlegend anderen Funktionalität im Vergleich zur Basisversion, die von den Hauptentwicklern bereitgestellt wird.

In der Diskussion weisen die Befürworter der Änderungen darauf hin, dass jedes aktivierte Plugin potenziell das Risiko von Sicherheitsanfälligkeiten oder das Einschleusen von Backdoors erhöht. Darüber hinaus wird erwähnt, dass das reduzierte Paket nur in den Repositories unstable und testing, die für Testzwecke vorgesehen sind, und nicht in den stabilen Versionen des Distributionspakets verfügbar ist.

Die Entwickler von KeePassXC erklärten, dass die Verwendung des Begriffs Plugins für entfernte zusätzliche Funktionen inkorrekt sei, da es sich um eine integrierte Funktionalität handelt, die standardmäßig deaktiviert ist, aber in den Einstellungen vom Benutzer aktiviert werden kann. Der Hinweis auf die Beseitigung von externen Bibliotheken wird ebenfalls als unbegründet erachtet, da der Code zur Unterstützung von Yubikey nicht mehr von der externen Bibliothek libyuibkey abhängt und alle notwendigen Komponenten in der Haupt-Codebasis von KeePassXC bereitgestellt werden.

Quelle: opennet.ru