KeePassXC Debian bakımcısı tüm ağ özelliklerini kaldırdı

Debian'daki KeePassXC paketi için özellik kaldırma tartışması

• Debian'daki KeePassXC paket bakımcısı, paketten tüm özellikleri tek taraflı olarak kaldırmaya karar verdi.
• Debian sid'deki varsayılan keepassxc paketi; ağ iletişimi, SSH ajanı, tarayıcı eklentisi, fdo gizli depolama gibi özelliklerden arındırılarak yalnızca en temel işlevleri içerecek.
• Bu özelliklere ihtiyaç varsa keepassxc-full paketine geçmek gerekecek.

Özelliklerin kaldırılma gerekçesi üzerindeki tartışma

• Debian hata raporunda gerekçe olarak güvenlik sorunları gösteriliyor.
• Ancak KeePassXC ekibi, yalnızca ağ özellikleri değil Yubikey desteği, otomatik yazma, tarayıcı entegrasyonu gibi neredeyse tüm özelliklerin kaldırılmasını aşırı buluyor.
• Özellik kaldırmanın, açıkları azaltmaktan çok kullanıcıların ihtiyaç duyduğu işlevleri ortadan kaldırdığı yönünde görüşler de var.

Debian'ın tutumu ve tepkiler

• Debian, kullanılmayan kod ve gereksiz özellikleri kaldırmanın liblzma uzlaşma vakasından sonra güvenlik için en iyi yaklaşım olduğunu savunuyor.
• Ancak KeePassXC ekibiyle önceden görüşmeden tek taraflı karar alınması nedeniyle eleştiriliyor.
• Kullanıcı karmaşasını en aza indirmek için keepassxc paketini keepassxc-full paketine yönlendiren bir geçiş paketi sunulacağı belirtiliyor.

GN⁺ görüşü

• Güvenlik için gereksiz özellikleri kaldırmak başlı başına kötü değil; ancak paket adını değiştirmeden mevcut kullanıcıların kullandığı işlevleri aniden kaldırmak iyi bir yöntem değil.
• Debian gibi dağıtımlarda paket politikası değiştirilirken mümkün olduğunca upstream geliştiricilerle görüşülmeli ve kullanıcıların yaşayacağı karışıklık en aza indirilmeye çalışılmalı.
• Tam özellikli paket ile asgari paket ayrı sunulabilir; ancak adlandırma net olmalı ve kullanıcının seçim yapabilmesi sağlanmalı.
• Başka bir parola yöneticisine bakmak da bir seçenek; ancak KeePassXC'ye daha aktif katkı vermek ve iş birliğiyle sorunu iyileştirmeye çalışmak da önemli.
• Bunun özgür yazılım olması, paket bakımcısının keyfi davranabileceği anlamına gelmez; kullanıcı ve geliştirici topluluğunun görüşlerine saygı duyulmalı ve şeffaf iletişim kurulmalı.

[GN⁺]

Hacker News görüşleri

Hacker News yorum özeti

1. Upstream projenin özelliklerini kaldırıp aynı adla dağıtma konusundaki endişeler

• Upstream projede uygulanmış özellikleri kaldırıp aynı adla dağıtmak sorunlu olabilir
• Böyle yapılacaksa fork edilip farklı bir adla dağıtılması gerekir
• Geçmişte Debian’ın Chromium paket yöneticisinin uzantı kurulumunu keyfi olarak devre dışı bıraktığı bir örnekten bahsediliyor

2. Güvenlik açısından ağ özelliklerini kaldırmanın makul olduğu görüşü

• Bir parola yöneticisinde ağ özellikleri ve tarayıcı entegrasyonu potansiyel zafiyet kaynağı olabilir
• Ağla ilgili özellikler olmadan yalnızca güvenilir bir veritabanı kullanılırsa, bir zafiyet bulunsa bile istismar edilmesi mümkün olmaz
• Ağ özelliklerini içeren tam sürüm paket Debian’da bulunduğu için isteyen kullanıcılar keepassxc-full kurabilir
• Ancak upstream’i "berbat" diye nitelendirmek yapıcı değil; keepassxc-lite ve keepassxc-full daha uygun paket adları olabilir

3. Hem "full" hem de "minimal" sürümü paketlemenin doğru tercih olduğu görüşü

• İki sürüm arasında Conflicts ilişkisi tanımlanmalı, kullanıcıların seçim yapabilmesi için Provides ve Replaces etiketleri kullanılmalı
• Bunun neden bariz bir tercih olmadığı sorgulanıyor

4. Arch Linux’ta kullanıcı onayı olmadan passim paketine bağımlı hale getirme sorunu

• fwupd paketinin kullanıcı onayı olmadan passime bağımlı olacak şekilde ayarlandığı belirtiliyor
• passim, 0.0.0.0:27500 üzerinde bir web sunucusu çalıştırıyor ve çok sayıda zafiyeti olan GnuTLS kullanıyor
• Bu yapılandırmanın istismar edilebileceği yönünde endişe var

5. En az şaşırtma ilkesi gereği, belgelenmiş bir risk yoksa temel işlevlerin devre dışı bırakılmaması gerektiği görüşü

• KeePassXC’in işlevleri, kullanıcının açık müdahalesi olmadan zafiyete neden olmaz
• Tarayıcı entegrasyonu, panoya erişimden çok daha güvenlidir ve projenin vizyonuyla da uyumludur
• Bu değişiklikten fayda görecek kullanıcı sayısı son derece azken, tarayıcı entegrasyonunu kullananlar için ciddi rahatsızlık yaratıyor

6. Mevcut kullanıcıları bozmadan ayrım yapılabileceği için Debian paket yöneticisinin yanlış karar verdiği iddiası

• Ağ özelliği olmayan KeePassXC sunmak iyi olabilir, ancak tarayıcı entegrasyonunu niş bir özellik olarak görmek gerçeklikten kopuk
• Debian’daki KeePassXC kullanıcılarının yarısından fazlası bu karar karşısında şaşıracaktır
• Sonuçta karar paket yöneticisine ait, ancak iyi bir karar değil

7. KeePassXC geliştiricisinin görüşünden alıntı

• Yeni paketleme biçimi nedeniyle insanların iş akışlarının bozulduğuna dair bildirimler aldıklarını söylüyor
• Yubikey özelliği kaldırıldığı için kullanıcıların veritabanlarına erişemez hale geldiği vakalar da olmuş
• En önemli sırlarına erişimi kaybeden kişiler, panik anında mantıksız davranışlar sergileyebilir

8. Paketin upstream projenin niyetinden farklı şekilde değiştirilmesi durumunda farklı adla dağıtılması gerektiği görüşü

• Downstream bakımcı paketi değiştiriyorsa, bunu farklı bir adla dağıtmalı ve değiştirilmiş sürümden kaynaklanan tüm hata raporlarını kendisi ele almalıdır

9. Güncel tartışmaların GitHub issue’da görülebileceği bilgisi

10. Başlığın yanlış olduğu yönündeki işaret

• Orijinal gönderi yalnızca ağ özelliklerinin değil, tüm özelliklerin kaldırıldığını söylüyordu; bu doğru
• Çevrimdışı işlevler dahil tüm isteğe bağlı özellikler derleme sırasında kapatılmıştı