Syncthing-Fork: Community alarmiert über unklaren Schlüssel-Transfer

Das GitHub-Repository einer populären Android-Variante der Syncthing-Software zur Dateisynchronisation ist verschwunden und unter fragwürdigen Umständen wieder aufgetaucht, was in der Community für Beunruhigung sorgt.

Der ursprüngliche Entwickler, Catfriend1, ist seit dem plötzlichen Verschwinden des Repositories und der privaten Markierung seines Profils nicht mehr erreichbar. Syncthing ermöglicht die dezentrale Synchronisation von Dateien zwischen Geräten ohne Cloud-Anbieter. Da die Anwendung vollen Zugriff auf das Dateisystem hat, verursacht das Verschwinden des Repositories erhebliche Unsicherheit.

Laut Berichten in Foren ist dies nicht der erste Vorfall. Eine frühere Situation beinhaltete das Umschreiben der Repository-Historie zur Entfernung unangemessener Inhalte. Die aktuelle Lage ist jedoch anders: Ein neues GitHub-Konto namens "researchxxl" hat das Projekt offenbar übernommen, ohne dass eine öffentlich nachvollziehbare und verifizierte Übergabe durch Catfriend1 stattgefunden hat.

Dies birgt ein Sicherheitsrisiko, da der neue Betreuer theoretisch beliebigen Code unter der alten Signatur auf viele Geräte übertragen könnte. Die Kommunikation des neuen Projektmanagers wird von der Community als ausweichend und intransparent empfunden. Obwohl bisherige technische Prüfungen keine offensichtlich bösartigen Änderungen aufgedeckt haben und F-Droid die App reproduzierbar baut, bleiben Bedenken bezüglich zukünftiger Änderungen bestehen.

Organisatorische Fragen bezüglich Build-Prozessen und einer möglichen Umbenennung des Projekts werden öffentlich auf GitHub diskutiert. Entwickler wie nel0x haben sich der Weiterentwicklung angeschlossen und hoffen auf eine zukünftige Vertrauenswürdigkeit der Builds von F-Droid.