De maintainer van de Debian-package van wachtwoordmanager KeePassXC heeft besloten om alle netwerkfuncties uit de nieuwste versie te verwijderen om zogenaamde “security complications” te voorkomen. De beslissing heeft geleid tot enige ophef, aangezien de makers van KeePassXC het niet eens zijn met deze aanpassing. Gebruikers die toch van de verwijderde functies gebruik willen maken, moeten overschakelen naar ‘keepassxc-full’. Dit onderwerp heeft honderden reacties gegenereerd op Hacker News.

KeePassXC is een opensource wachtwoordmanager die beschikbaar is voor Linux, macOS en Windows. Het is een afsplitsing van KeePassX, dat op zijn beurt weer is gebaseerd op de wachtwoordmanager KeePass. De maintainer van de Debian-package van KeePassXC heeft verklaard dat zijn versie alleen over minimale functionaliteit beschikt en geen “security complications” zoals netwerkfuncties, SSH-agent, browserplug-in en fdo secret storage.

Volgens het ontwikkelteam van KeePassXC is het eenzijdig besluit van de maintainer niet wenselijk. Mocht de genoemde aanpassing doorgevoerd worden in de stabiele versie van Debian, dan zullen gebruikers die de netwerkfuncties nodig hebben naar ‘keepassxc-full’ moeten overstappen. De huidige aanpassingen bevinden zich op dit moment alleen in de test/onstabiele versie van het besturingssysteem.

Het ontwikkelteam is van mening dat de maintainer de uitgeklede versie niet onder dezelfde naam had moeten aanbieden. De verwijderde opties zijn namelijk standaard uitgeschakeld en vereisen een bewuste keuze van de gebruiker om ingeschakeld te worden. Zij hadden liever gezien dat de aangepaste versie de naam ‘keepassxc-minimal’ zou krijgen. De maintainer heeft aangegeven dat de genoemde functies geen plug-ins zijn, maar ingebouwde functionaliteiten in de code. Om het aanvalsoppervlak te verkleinen, is het volgens hem noodzakelijk om deze code te verwijderen.