BitWarden : inquiétudes autour d’un éloignement de l’open source

BitWarden : inquiétudes autour d’un éloignement de l’open source

BitWarden : inquiétudes autour d’un éloignement de l’open source

Par Vincent Hermann

Le 21 octobre à 10h50
Logiciel
2 min

BitWarden est l’un des gestionnaires de mots de passe les plus utilisés. Sa tarification Premium, particulièrement bon marché (10 dollars par an), couplée à une synchronisation mobile présente dès la version gratuite et sans limite d’appareils, le rendent très accessible. Il est également connu pour son code en partie open source et la possibilité de créer son propre serveur de synchronisation.

Chez Phoronix, on relève cependant des inquiétudes exprimées par certains utilisateurs sur GitHub au sujet d’un changement en approche. Dans une pull request, BitWarden introduit en effet une dépendance à bitwarden/sdk-internal pour compiler le client desktop. Or, la licence de kit de développement ne permet pas son utilisation pour d’autres implémentations du gestionnaire ou pour développer un autre SDK.

Sur GitHub, on peut lire un certain nombre de personnes s’en émouvant et critiquant le changement. Plusieurs indiquent qu’elles vont désormais chercher une alternative à BitWarden.

Si la discussion a été ouverte il y a plusieurs jours, Kyle Spearrin, fondateur et CEO de BitWarden, a fini par répondre hier. « Merci de nous avoir fait part de vos inquiétudes. Nous avons progressé dans l'utilisation de notre SDK [...]. Cependant, notre objectif est de nous assurer que le SDK est utilisé d'une manière qui maintient la compatibilité GPL », a-t-il indiqué.

Il précise plusieurs points. D’abord, que le « SDK et le client sont deux programmes distincts ». Ensuite, que le « code de chaque programme est dans des dépôts distincts ». Enfin, qu’une communication entre les deux programmes via des protocoles standards « ne signifie pas qu'ils sont un seul programme aux fins de la GPLv3 ». Le sujet a été fermé peu de temps après.

Commentaires (20)


seboquoi
Hier à 11h34
Du coup, faut en penser quoi ??
potn Abonné
Hier à 15h06
Et c'est quoi l'intérêt de Bitwarden, de rendre le build d'un fork plus compliqué ?
Pepelle Abonné
Hier à 11h37
J'utilise Bitwarden sur mes PC du boulot (stocké chez Bitwarden), Et Vaultwarden hébergé sur mon NAS Syno pour mes pc/smartphone/tablette perso.
J'ai peur que ce dernier ne vienne à disparaitre (ou ne soit plus maintenu :stress:)!
Modifié le 21/10/2024 à 11h38

Historique des modifications :

Posté le 21/10/2024 à 11h37


J'utilise Bitwarden sur mes PC du boulot (stocké chez Bitwarden), Et Valtwarden hébergé sur mon NAS Syno pour mes pc/smartphone/tablette perso.
J'ai peur que ce dernier ne vienne à disparaitre (ou ne soit plus maintenu :stress:)!

kdy Abonné
Hier à 13h41
Vaultwarden est une réécriture complète et indépendante du serveur, ils n'ont pas de dépendances au SDK officiel. Le client Web qu'ils intègrent est d'ailleurs déjà une version modifiée et propre à eux. Je pense que rester là-dessus et voir des clients alternatifs (j'utilise Keyguard sur Android) est la meilleure option si on veut rester sur de l'Open Source.
Pepelle Abonné
Hier à 14h28

kdy

Vaultwarden est une réécriture complète et indépendante du serveur, ils n'ont pas de dépendances au SDK officiel. Le client Web qu'ils intègrent est d'ailleurs déjà une version modifiée et propre à eux. Je pense que rester là-dessus et voir des clients alternatifs (j'utilise Keyguard sur Android) est la meilleure option si on veut rester sur de l'Open Source.
Merci de l'info! Je pensais que Vaultwarden était simplement une adaptation de Bitwarden pour docker!
:merci:
bilbonsacquet Abonné
Hier à 20h30

Pepelle

Merci de l'info! Je pensais que Vaultwarden était simplement une adaptation de Bitwarden pour docker!
:merci:
Il est écrit en Rust et non en .net et est compatible avec plein de systèmes de base de données (sqlite, postgresql…) contrairement à Bitwarden qui ne fonctionne qu'avec SQL Server, il me semble que postgresql devait arriver, je n'ai pas regardé où ça en est.
Raromatai Abonné
Hier à 21h55
Il n'y a pas d'abonnement pro/famille couplé avec Bitwarden ? Il me semblait que si, comme avec 1Password et LastPass d'ailleurs. Ceci-dit, le dernier exemple montre bien que même si un abonnement famille est proposé, il n'y a heureusement pas d'obligation à l'utiliser :nonnon:
fdorin Abonné
Hier à 11h42
Histoire d'approfondir le sujet, voici 2 entrées de la FAQ disponible sur le site gnu.org :
- https://www.gnu.org/licenses/gpl-faq.en.html#FSWithNFLibs
- https://www.gnu.org/licenses/gpl-faq.en.html#GPLIncompatibleLibs

En gros, lier un programme GPL a une bibliothèque non compatible avec la GPL, c'est pas impossible (mais pas recommandé). Par contre, le programme derrière ne pourrait pas être déployé en environnement libre et il pourra y avoir des contraintes d'ordres légales.

Ici, j'ai l'impression qu'ils savent ce qu'ils font et qu'il joue sur les "limites" du système (pas comme Winamp où Llama avait fait preuve d'amateurisme criant concernant la licence et la gestion du code source), d'autant plus qu'ils sont les copyright holder pour les deux projets.

Je ne me prononce pas sur les aspects moraux (à chacun son avis). D'un point de vue légal, à première vue, ça à l'air d'être plus ou moins correct.
bilbonsacquet Abonné
Hier à 12h18
Visiblement, la dépendance au SDK serait un "bug" :
Being able to build the app as you are trying to do here is an issue we plan to resolve and is merely a bug.


https://github.com/bitwarden/clients/issues/11611#issuecomment-2424865225

À suivre de près !
dante_elysium Abonné
Hier à 13h37
Sinon, il y a toujours Proton Pass, Open Source et Suisse :D (Chui fan !)
meyrand018 Abonné
Hier à 14h00
c'est pas le même prix malheureusement
supersarma
Hier à 14h15
Je n'ai jamais utilisé Bitwarden. Cela fait des années que j'utilise Keepass. Pour la syncro, j'ai Syncthing qui tourne sur chacune de mes appareils. Tout est en local mais le fichier est disponible sur chacune des machines/téléphone.

Proton Pass coute 60€/an si on prend un paiement mensuel, 25€ si paiement annuel.
Je préfère faire un don annuel de 25 balles à Syncthing qui fait bien plus, que de payer un abonnement à Proton.

potn Abonné
Hier à 15h02

supersarma

Je n'ai jamais utilisé Bitwarden. Cela fait des années que j'utilise Keepass. Pour la syncro, j'ai Syncthing qui tourne sur chacune de mes appareils. Tout est en local mais le fichier est disponible sur chacune des machines/téléphone.

Proton Pass coute 60€/an si on prend un paiement mensuel, 25€ si paiement annuel.
Je préfère faire un don annuel de 25 balles à Syncthing qui fait bien plus, que de payer un abonnement à Proton.

J'adore aussi Syncthing, mais il faut mettre en perspective ta solution, car elle n'intègre pas toutes les fonctionnalités fournies par Bitwarden, avec notamment le partage de mots de passe entre plusieurs utilisateurs, ce qui est bien pratique.
supersarma
Hier à 15h51

potn

J'adore aussi Syncthing, mais il faut mettre en perspective ta solution, car elle n'intègre pas toutes les fonctionnalités fournies par Bitwarden, avec notamment le partage de mots de passe entre plusieurs utilisateurs, ce qui est bien pratique.
Aaha ! Quelle ironie. J'ai écris mon commentaire et littéralement 2 min après j'apprends que le développement de l'application android de Syncthing sera arrêté ! Bon. On verra ce que ça va donner par la suite.
Modifié le 21/10/2024 à 15h52

Historique des modifications :

Posté le 21/10/2024 à 15h51


Aaha ! Quelle ironie. J'ai écris mon commentaire et littéralement 2 min après j'apprends que le développement de l'application android de Syncthing sera arrêté ! Bon. On verra ce que ça va donner par la suite.

Azdhar64 Abonné
Hier à 22h56

supersarma

Aaha ! Quelle ironie. J'ai écris mon commentaire et littéralement 2 min après j'apprends que le développement de l'application android de Syncthing sera arrêté ! Bon. On verra ce que ça va donner par la suite.
Oh non ! Je m'en sers également pour synchroniser mes photos et mon coffre fort 😭
Il ne reste plus qu'à vour si ça tourne dsns termux, ou faire du rsync...
sergekaramazov
Hier à 22h57

supersarma

Aaha ! Quelle ironie. J'ai écris mon commentaire et littéralement 2 min après j'apprends que le développement de l'application android de Syncthing sera arrêté ! Bon. On verra ce que ça va donner par la suite.
Sur F-droid, j'ai installé un truc qui s'appelle Syncthing-Fork à cet effet.
ygbillet Abonné
Hier à 22h58

supersarma

Aaha ! Quelle ironie. J'ai écris mon commentaire et littéralement 2 min après j'apprends que le développement de l'application android de Syncthing sera arrêté ! Bon. On verra ce que ça va donner par la suite.
Il y a des alternatives, p. ex. Syncthing-fork.
HerrFrance Abonné
Hier à 14h44
Dommage que Passbolt ne fasse pas d'offre cloud aux particuliers. Il faut s'autohéberger
potn Abonné
Hier à 15h03
Passbolt n'est pas assez user-friendly pour le grand public : c'est très axé pro, et ça risque pas de changer au vu de la conception du produit (notamment l'obligation d'installation du module sur le navigateur).
Modifié le 21/10/2024 à 15h03

Historique des modifications :

Posté le 21/10/2024 à 15h03


Passbolt n'est pas assez user-friendly pour le grand public : c'est très axé pro, et ça risque pas de changer au vu de la conception du produit (notamment l'obligation d'installation du module sur le navigateur).

HerrFrance Abonné
Hier à 23h30

potn

Passbolt n'est pas assez user-friendly pour le grand public : c'est très axé pro, et ça risque pas de changer au vu de la conception du produit (notamment l'obligation d'installation du module sur le navigateur).
Oui je suis d'accord. C'est dommage dans un sens, il me manque déjà des choses en comparaison de Keepass.
Ça viendra peut être un jour
Fermer