Debian est passé à la fourniture d'une version réduite du gestionnaire de mots de passe KeePassXC

Le mainteneur responsable du packaging pour les paquets Debian avec les gestionnaires de mots de passe KeePassXC est passé à la distribution d'une version fortement réduite du programme, ne conservant que les fonctionnalités de base nécessaires pour le stockage sécurisé des mots de passe sur le système local. Les fonctionnalités avancées, telles que l'interaction réseau, le code pour la gestion via IPC, les composants pour l'intégration avec les navigateurs web, les fonctions d'auto-remplissage des mots de passe et le code pour le support des clés Yubikey, ont été supprimées du paquet standard keepassxc, ce qui s'explique par la volonté de se débarrasser des fonctionnalités superflues qui augmentent la surface d'attaque et peuvent potentiellement nuire à la sécurité et à la confidentialité.

Pour les utilisateurs nécessitant la version complète de KeePassXC, un paquet distinct keepassxc-full a été proposé, incluant toutes les fonctionnalités avancées proposées dans la version d'origine. Le paquet réduit est désormais disponible dans les dépôts Debian sid (unstable) et testing, au lieu de l'ancien paquet complet portant le même nom, ce qui a provoqué l'indignation de certains utilisateurs qui, après la mise à jour, se sont retrouvés sans les fonctionnalités auxquelles ils étaient habitués et ont perçu ce changement comme un échec. Les mécontents suggèrent que le mainteneur de KeePassXC dans Debian rétablisse la version originale du paquet et place la version réduite sous le nom keepassxc-minimal.

La décision a également suscité des critiques de la part des développeurs de KeePassXC, qui ont souligné que les utilisateurs associent la perte de fonctionnalités au projet principal et se plaignent aux développeurs de KeePassXC, plutôt qu'au mainteneur du paquet dans Debian. Ce changement pourrait nuire à la réputation de KeePassXC et entraîner une pression supplémentaire sur les participants du projet. De plus, la question a été soulevée de savoir dans quelle mesure il est légitime de distribuer un paquet sous le nom du projet tout en présentant une fonctionnalité radicalement différente de la version de base fournie par les développeurs principaux.

Dans la discussion, les partisans du changement soulignent que chaque plugin inclus représente potentiellement un risque supplémentaire de vulnérabilités ou d'introduire une porte dérobée. En outre, il est noté que le paquet réduit est uniquement disponible dans les dépôts unstable et testing, destinés aux tests, et non dans les versions stables de la distribution.

Les développeurs de KeePassXC ont expliqué que l'utilisation du terme plugins pour désigner des fonctionnalités supplémentaires à distance est incorrecte, car il s'agit d'une fonctionnalité intégrée, qui est désactivée par défaut mais peut être activée par l'utilisateur dans les paramètres. Les mentions de l'élimination des bibliothèques externes sont également considérées comme infondées, car le code de support pour Yubikey n'est plus lié à la bibliothèque externe libyuibkey et tous les composants nécessaires à son fonctionnement sont fournis dans la base de code principale de KeePassXC.

Source : opennet.ru