La communauté du fork Syncthing s'alarme d'un transfert de clés incertain

Le dépôt GitHub d'un fork Android populaire du logiciel de synchronisation de fichiers Syncthing a disparu et refait surface dans des circonstances troubles, provoquant l'inquiétude au sein de la communauté open-source.

Le dépôt du développeur Catfriend1 a initialement disparu, et le développeur est injoignable depuis, son profil étant marqué comme privé. Syncthing permet la synchronisation décentralisée de fichiers entre appareils sans fournisseur cloud. Étant donné l'accès complet de l'application au système de fichiers, la disparition soudaine du dépôt a causé une incertitude considérable.

Selon les rapports de la communauté, ce n'est pas la première fois qu'un tel incident se produit. Une occurrence précédente impliquait la réécriture de l'historique du dépôt pour supprimer du contenu inapproprié. Cependant, la situation actuelle diffère car un nouveau compte GitHub, "researchxxl", semble avoir repris le projet sans transfert clair et vérifiable de la part du développeur d'origine.

Cela présente un risque de sécurité, car le nouveau mainteneur pourrait théoriquement pousser du code arbitraire sous la signature précédente du projet vers de nombreux appareils. La communauté perçoit la communication du nouveau chef de projet comme évasive et manquant de transparence. Bien que les examens techniques initiaux n'aient pas révélé de modifications malveillantes évidentes, et que F-Droid compile l'application de manière reproductible, les changements futurs restent une source de préoccupation.

Les questions organisationnelles, y compris les processus de construction et le renommage potentiel du projet, sont discutées publiquement sur GitHub. Le développeur nel0x a rejoint les efforts, dans le but de contribuer au développement futur et d'espérer la confiance des futures compilations F-Droid.