Il maintainer responsabile della compilazione per i pacchetti Debian con i gestori di password KeePassXC ha iniziato a fornire una versione estremamente semplificata del programma, che include solo le funzionalità di base necessarie per la sicurezza nella memorizzazione delle password sul sistema locale. Le funzioni avanzate, tra cui la possibilità di interazione di rete, il codice per la gestione tramite IPC, i componenti per l'integrazione con i browser web, le funzioni di auto-compilazione delle password e il codice per il supporto delle chiavi Yubikey, sono state rimosse dal pacchetto standard keepassxc, giustificando così l'eliminazione delle funzionalità superflue che aumentano la superficie di attacco e potrebbero influire negativamente sulla sicurezza e sulla riservatezza.
Per gli utenti che necessitano della versione completa di KeePassXC, è stato offerto un pacchetto separato keepassxc-full, che include tutte le funzionalità avanzate disponibili nella versione originale. Il pacchetto ridotto è stato collocato nei repository Debian sid (instabile) e testing invece del vecchio pacchetto completo con lo stesso nome, il che ha suscitato l'indignazione di alcuni utenti che, dopo l'aggiornamento, si sono trovati privi delle funzionalità a cui erano abituati e hanno percepito la modifica come un malfunzionamento. Coloro che sono insoddisfatti della modifica propongono al maintainer di KeePassXC in Debian di ripristinare la versione originale del pacchetto, mentre la versione ridotta dovrebbe essere classificata con il nome keepassxc-minimal.
Anche lo sviluppatore di KeePassXC ha espresso critiche sulla decisione presa, sottolineando che gli utenti associano la perdita di funzionalità al progetto principale e si rivolgono ai programmatori di KeePassXC con le loro lamentele, piuttosto che al manutentore del pacchetto in Debian. Questa modifica può avere un impatto negativo sulla reputazione di KeePassXC e portare a un carico aggiuntivo sui membri del progetto. Inoltre, è stata sollevata la questione su quanto sia giusto distribuire un pacchetto mantenendo il nome del progetto, ma con una funzionalità che differisce radicalmente da quella fornita dagli sviluppatori principali.
Nel dibattito, i sostenitori della modifica evidenziano che ogni plugin incluso può comportare un ulteriore rischio di vulnerabilità o l'inserimento di backdoor. Inoltre, si nota che il pacchetto ridotto è disponibile solo nei repository unstable e testing, destinati alla sperimentazione, e non nelle versioni stabili della distribuzione.
Gli sviluppatori di KeePassXC hanno spiegato che l'uso del termine plugin per le funzionalità aggiuntive remote è incorretto, poiché si tratta di funzionalità integrate che, per impostazione predefinita, sono disattivate, ma possono essere attivate dall'utente nelle impostazioni. Anche il riferimento all'eliminazione delle librerie esterne è considerato infondato, poiché il codice per supportare Yubikey non dipende più da alcuna libreria esterna libyuibkey e tutti i componenti necessari per il suo funzionamento sono inclusi nel codice sorgente principale di KeePassXC.
Fonte: opennet.ru
