A Debian csomagokhoz kapcsolódó a KeePassXC jelszókezelők számára készült buildet biztosító fenntartó a program egy erősen megvágott verziójára váltott, amely csak a jelszavak biztonságos helyi tárolásához szükséges alapvető funkciókat tartalmazza. Az olyan kiterjesztett funkciók, mint a hálózati interakció lehetősége, az IPC-n keresztüli vezérléshez szükséges kód, a webböngészőkkel való integrációs összetevők, az automatikus jelszóbeviteli funkciók és a Yubikey támogatására szolgáló kód eltávolításra kerültek a standard keepassxc csomagból, amely a támadási felület növekedését és a biztonságra és adatvédelemre gyakorolt lehetséges negatív hatásokat célozta meg.
A felhasználók számára, akiknek szükségük van a KeePassXC teljes verziójára, külön keepassxc-full csomaget kínálnak, amely tartalmazza az eredeti verzió minden kiterjesztett képességét. A megvágott csomagot a Debian sid (unstable) és testing repóiban helyezték el a korábbi teljes csomag helyett, ami néhány felhasználó felháborodását váltotta ki, akik frissítés után tapasztalták a megszokott funkciók hiányát, és az átalakítást hibának tekintették. A változást ellenzők javasolják a KeePassXC fenntartójának a Debiannál, hogy állítsa vissza az eredeti csomagváltozatot, míg a megvágott verziót a keepassxc-minimal néven helyezzék el.
A döntés ellen kritikát fogalmazott meg a KeePassXC fejlesztője is, aki rámutatott, hogy a felhasználók a funkciók eltűnését a fő projekthez kötik, és a KeePassXC fejlesztőihez fordulnak panasszal, nem pedig a Debian csomag fenntartójához. A változás negatívan befolyásolhatja a KeePassXC hírnevét, és feszültséget generálhat a projekt résztvevői között. Továbbá felmerült a kérdés, hogy mennyire jogszerű a csomag elosztása a projekt nevének megtartásával, de alapvetően eltérő funkcionalitással a fő fejlesztők által biztosított alap buildtől.
A vitában a változás támogatóai arra hívják fel a figyelmet, hogy minden egyes beépített plugin potenciálisan extra kockázatot jelenthet sebezhetőségek megléte vagy hátsó ajtók bevezetése miatt. Emellett hangsúlyozzák, hogy a megvágott csomag csak a tesztelésre fenntartott unstable és testing repókban található, és nem a disztribúció stabil kiadásaiban.
A KeePassXC fejlesztői elmagyarázták, hogy a pluginek kifejezés használata a távoli kiegészítő funkciókra nem helyes, mivel ez egy beépített funkcionalitás, amely alapértelmezés szerint ki van kapcsolva, de a felhasználó aktiválhatja a beállításokban. Az említett külső könyvtárak megszüntetése szintén megalapozatlannak tűnik, mivel a Yubikey támogatásához szükséges kód már nem függ a külső libyubikey könyvtártól, és minden szükséges komponens a KeePassXC alap kódalapjában található.
Forrás: opennet.ru
