De ontwikkelaar van de Debian-packaging van de wachtwoordmanager KeePassXC heeft ervoor gekozen om alle netwerkfuncties uit deze versie te verwijderen om mogelijke “security complications” te voorkomen. De makers van KeePassXC zijn het niet eens met deze eenzijdige beslissing. Gebruikers die toch gebruik willen maken van de verwijderde functies, moeten overstappen naar ‘keepassxc-full’. Deze beslissing heeft geleid tot honderden reacties op Hacker News.

KeePassXC is een open-source wachtwoordmanager voor Linux, macOS en Windows. Het is een afsplitsing van KeePassX, wat op zijn beurt weer een aftakking is van de wachtwoordmanager KeePass. De maintainer van de Debian-packaging van KeePassXC legt uit dat zijn versie alleen de meest essentiële functionaliteiten bevat en geen “security complications” zoals netwerkfuncties, SSH-agent, browserplug-in en fdo secret storage.

Via Twitter heeft het ontwikkelteam van KeePassXC laten weten dat dit een eenzijdige beslissing is. Als deze aanpassing in de stabiele versie van Debian terechtkomt, moeten gebruikers die de netwerkfuncties willen gebruiken overstappen naar ‘keepassxc-full’. Op dit moment zijn de aanpassingen van de maintainer alleen aanwezig in de test-/onstabiele versie van het besturingssysteem.

Het ontwikkelteam is van mening dat de maintainer de uitgeklede versie niet onder dezelfde naam had moeten uitbrengen. Ze benadrukken dat de verwijderde opties opt-in zijn en standaard zijn uitgeschakeld. Ze hadden liever gezien dat de aangepaste versie de naam ‘keepassxc-minimal’ zou dragen. De maintainer heeft aangegeven dat de genoemde functies geen plug-ins zijn, maar ingebouwde functionaliteiten in de code. Volgens hem is het verwijderen van de code de enige veilige optie om het aanvalsoppervlak te verkleinen.