O mantenedor que fornece a compilação para pacotes Debian com os gerenciadores de senhas KeePassXC mudou para uma versão reduzida do programa, que mantém apenas a funcionalidade básica necessária para o armazenamento seguro de senhas em um sistema local. Funções avançadas, como a capacidade de interação em rede, códigos para controle via IPC, componentes para integração com navegadores da web, funções de preenchimento automático de senhas e o código para suporte a chaves Yubikey, foram removidas do pacote padrão do keepassxc, o que é explicado pela eliminação de funcionalidades excessivas que aumentam a superfície de ataque e podem impactar negativamente a segurança e a privacidade.
Para os usuários que precisam da versão completa do KeePassXC, foi oferecido um pacote separado keepassxc-full, que inclui todas as funcionalidades avançadas oferecidas na versão original. O pacote reduzido está disponível nos repositórios Debian sid (instável) e testing em vez do antigo pacote completo com o mesmo nome, o que gerou descontentamento entre alguns usuários que, após a atualização, perceberam a ausência de funcionalidades habituais e interpretaram a mudança como uma falha. Os insatisfeitos com a alteração pedem ao mantenedor do KeePassXC no Debian que retorne à versão original do pacote e que a versão reduzida seja mantida sob o nome keepassxc-minimal.
Um desenvolvedor do KeePassXC também criticou a decisão tomada, observando que os usuários associam a perda de funcionalidades ao projeto principal e direcionam suas reclamações aos desenvolvedores do KeePassXC e não ao mantenedor do pacote no Debian. A mudança pode impactar negativamente a reputação do KeePassXC e gerar uma carga adicional para os participantes do projeto. Além disso, foi levantada a questão de quão apropriado é distribuir um pacote mantendo o nome do projeto, mas com uma diferença funcional radical em relação à compilação básica fornecida pelos desenvolvedores principais.
Durante a discussão, os defensores da mudança apontam que cada plugin incluído pode potencialmente introduzir um risco adicional de vulnerabilidades ou backdoors. Além disso, destaca-se que o pacote reduzido está disponível apenas nos repositórios unstable e testing, destinados a testes, e não nas versões estáveis da distribuição.
Os desenvolvedores do KeePassXC explicaram que usar o termo plugins para as funcionalidades adicionais remotas é incorreto, pois é uma funcionalidade integrada que está desativada por padrão, mas pode ser ativada nas configurações pelo usuário. A menção à eliminação de bibliotecas externas também é considerada infundada, pois o código para suporte ao Yubikey não depende mais da biblioteca externa libu2f-host e todos os componentes necessários para seu funcionamento são fornecidos na base de código principal do KeePassXC.
Fonte: opennet.ru
