Le mainteneur Debian de KeePassXC supprime toutes les fonctionnalités réseau

Controverse autour de la suppression de fonctionnalités dans le paquet KeePassXC de Debian

• Le mainteneur du paquet KeePassXC dans Debian a décidé unilatéralement de retirer toutes les fonctionnalités du paquet.
• Dans Debian sid, le paquet keepassxc par défaut ne comprend plus que le strict minimum, les fonctions de réseau, l’agent SSH, le plugin navigateur, le stockage de secrets fdo et d’autres fonctionnalités ayant été retirés.
• Si ces fonctionnalités sont nécessaires, il faut passer au paquet keepassxc-full.

Polémique sur les raisons de cette suppression

• Le rapport de bug Debian invoque des raisons de sécurité.
• Mais l’équipe de KeePassXC estime qu’il est excessif d’avoir supprimé non seulement le réseau, mais aussi presque toutes les fonctionnalités comme le support Yubikey, la saisie automatique et l’intégration au navigateur.
• Certains estiment aussi que cette suppression retire des fonctions dont les utilisateurs ont besoin plutôt que de réellement réduire les vulnérabilités.

Position et réactions de Debian

• Debian considère qu’après l’affaire de compromission de liblzma, supprimer le code inutilisé et les fonctionnalités non indispensables est la meilleure approche pour la sécurité.
• Mais le projet est critiqué pour avoir pris cette décision unilatéralement sans concertation préalable avec l’équipe de KeePassXC.
• Afin de limiter la confusion chez les utilisateurs, Debian prévoit de fournir un paquet de transition permettant de faire passer keepassxc vers keepassxc-full.

Avis de GN⁺

• Retirer des fonctionnalités non indispensables pour des raisons de sécurité n’est pas forcément une mauvaise idée, mais supprimer soudainement des fonctions utilisées par les utilisateurs existants sans changer le nom du paquet est une mauvaise méthode.
• Lorsqu’une distribution comme Debian modifie sa politique de paquets, elle devrait autant que possible consulter les développeurs upstream et chercher à minimiser la confusion du point de vue des utilisateurs.
• Il est souhaitable de proposer séparément un paquet complet et un paquet minimal, avec des noms bien distincts afin que les utilisateurs puissent choisir.
• Chercher un autre gestionnaire de mots de passe peut être une option, mais il est aussi important d’essayer d’améliorer la situation en contribuant plus activement à KeePassXC et en coopérant avec le projet.
• Le fait qu’il s’agisse d’un logiciel libre ne signifie pas que le mainteneur du paquet peut faire ce qu’il veut ; il faut plutôt s’efforcer de respecter l’avis des utilisateurs et de la communauté de développement, et de communiquer de manière transparente.

[GN⁺]

Commentaires sur Hacker News

Résumé des commentaires Hacker News

1. Préoccupations concernant la suppression de fonctionnalités du projet upstream et leur distribution sous le même nom

• Supprimer des fonctionnalités implémentées par le projet upstream puis distribuer le résultat sous le même nom est potentiellement problématique
• Si l’on veut aller dans cette direction, il faudrait faire un fork et le distribuer sous un autre nom
• Mention d’un précédent où le mainteneur du paquet Chromium de Debian avait arbitrairement désactivé l’installation d’extensions

2. Avis selon lequel la suppression des fonctionnalités réseau est raisonnable du point de vue de la sécurité

• Dans un gestionnaire de mots de passe, les fonctionnalités réseau et l’intégration au navigateur peuvent constituer des vulnérabilités potentielles
• Si l’on n’utilise qu’une base de données de confiance sans fonctionnalités liées au réseau, même si une vulnérabilité est découverte, elle ne peut pas être exploitée
• Une version complète du paquet incluant les fonctionnalités réseau existe aussi dans Debian, donc les utilisateurs qui le souhaitent peuvent installer keepassxc-full
• En revanche, qualifier l’upstream de « médiocre » n’est pas productif, et keepassxc-lite ainsi que keepassxc-full seraient peut-être des noms de paquets plus appropriés

3. Opinion selon laquelle empaqueter à la fois une version « full » et une version « minimale » est le bon choix

• Il faudrait définir une relation Conflicts entre les deux versions et utiliser les tags Provides et Replaces pour permettre aux utilisateurs de choisir
• Certains s’interrogent sur les raisons pour lesquelles cela ne constitue pas le choix évident

4. Signalement d’un problème sur Arch Linux, où une dépendance au paquet passim est imposée sans consentement de l’utilisateur

• Le paquet fwupd est configuré pour dépendre de passim sans le consentement de l’utilisateur
• passim lance un serveur web sur 0.0.0.0:27500 et utilise GnuTLS, souvent jugé riche en vulnérabilités
• Cette configuration est jugée préoccupante en raison de son potentiel d’exploitation

5. Opinion selon laquelle, selon le principe de moindre surprise, les fonctionnalités clés ne devraient pas être désactivées en l’absence de risques documentés

• Les fonctionnalités de KeePassXC ne deviennent pas une source de vulnérabilité sans intervention explicite de l’utilisateur
• La fonctionnalité d’intégration au navigateur est bien plus sûre que l’accès au presse-papiers et ne correspond pas à la vision du projet
• Très peu d’utilisateurs tireront un bénéfice de ce changement, alors qu’il causera une gêne importante à ceux qui utilisent l’intégration au navigateur

6. Affirmation selon laquelle il s’agit d’une mauvaise décision du mainteneur Debian, car une différenciation était possible sans casser l’existant

• Proposer une version de KeePassXC sans fonctionnalités réseau est une bonne chose, mais considérer l’intégration au navigateur comme une fonctionnalité de niche est déconnecté de la réalité
• Plus de la moitié des utilisateurs de KeePassXC sur Debian risquent d’être surpris par cette décision
• Au final, c’est la décision du mainteneur du paquet, mais ce n’est pas une bonne décision

7. Citation de l’avis du mainteneur de KeePassXC

• Il a reçu des signalements indiquant que le nouveau mode de packaging avait cassé les flux de travail de certaines personnes
• Un cas a aussi été rapporté où un utilisateur a perdu l’accès à sa base de données parce que la fonctionnalité Yubikey avait été supprimée
• Les personnes qui perdent l’accès à leurs secrets les plus importants peuvent avoir des réactions irrationnelles dans un moment de panique

8. Opinion selon laquelle, lorsqu’un paquet est modifié d’une manière contraire à l’intention du projet upstream, il devrait être distribué sous un autre nom

• Si un mainteneur downstream modifie le paquet, il devrait le distribuer sous un autre nom et traiter tous les rapports de bugs causés par cette version modifiée

9. Indication selon laquelle les discussions les plus récentes peuvent être consultées dans une issue GitHub

10. Remarque indiquant que le titre est erroné

• Le billet d’origine mentionnait que non seulement les fonctionnalités réseau, mais aussi toutes les autres fonctionnalités avaient été supprimées, et c’est exact
• Toutes les fonctionnalités optionnelles, y compris les fonctionnalités hors ligne, ont été désactivées lors de la compilation