Maintainer, ktorý zaisťuje zostavenie Debian balíkov pre správcu hesiel KeePassXC, prešiel na dodávku maximálne odľahčenej verzie programu, v ktorej zostala iba základná funkcionalita potrebná na bezpečné ukladanie hesiel na lokálnom systéme. Rozšírené funkcie, medzi ktorými je možnosť sieťovej interakcie, kód na ovládanie cez IPC, komponenty na integráciu s webovými prehliadačmi, funkcie automatického vyplnenia hesiel a kód na podporu kľúčov Yubikey, boli odstránené zo štandardného balíka keepassxc, čo je vysvetlené zbavením sa nadbytočnej funcionality, ktorá zvyšuje útočnú plochu a potenciálne môže negatívne ovplyvniť bezpečnosť a súkromie.
Pre používateľov, ktorí potrebujú plnú verziu KeePassXC, bol navrhnutý samostatný balík keepassxc-full, ktorý zahŕňa všetky rozšírené funkcie ponúkané v pôvodnej verzii. Odľahčený balík je umiestnený v repozitároch Debian sid (unstable) a testing namiesto starého plného balíka so rovnakým názvom, čo vyvolalo pobúrenie niektorých používateľov, ktorí po aktualizácii narazili na nedostatok známej funkcionality a vnímali zmenu ako chybu. Nespokojní s touto zmenou žiadajú maintainerovi KeePassXC v Debiane, aby vrátil pôvodnú verziu balíka, a odľahčenú verziu umiestnil pod menom keepassxc-minimal.
S kritikou prijatého rozhodnutia vystúpil aj vývojár KeePassXC, ktorý poznamenal, že používatelia spájajú zmiznutie funkcionality s hlavným projektom a zasielajú sťažnosti vývojárom KeePassXC, a nie maintainerovi balíka v Debian. Zmena môže negatívne ovplyvniť reputáciu KeePassXC a viesť k zbytočnej záťaži pre účastníkov projektu. Okrem toho bola zdvihnutá otázka, ako spravodlivé je distribuovať balík pod zachovaním názvu projektu, ale s radikálnym odlišovaním funkcionality od základnej zostavy poskytovanej hlavnými vývojármi.
V diskusii zástancovia zmeny uvádzajú, že každý zahrnutý plugin potenciálne vedie k dodatočnému riziku prítomnosti zraniteľností alebo zavedenia backdooru. Okrem toho sa uvádza, že odľahčený balík je umiestnený len v repozitároch unstable a testing, ktoré sú určené na testovanie, a nie v stabilných verziách distribúcie.
Vývojári KeePassXC vysvetlili, že použitie termínu pluginy na ďalšie vzdialené možnosti nie je správne, pretože ide o integrovanú funkčnosť, ktorá je predvolene vypnutá, ale môže byť aktivovaná používateľom v nastaveniach. Zmiernenie odstránenia externých knižníc je tiež považované za bezdôvodné, pretože kód na podporu Yubikey už nie je závislý na externých knižniciach libyuibkey a všetky potrebné komponenty pre jeho funkciu sú zahrnuté v hlavnej kódovej báze KeePassXC.
Zdroj: opennet.ru
