Neuer Maintainer beim Fork von Syncthing for Android erweckt Misstrauen

Syncthing für Android entstand ursprünglich als offizielle Wrapper-App rund um die Syncthing-Binärdatei und bot eine native Benutzeroberfläche für die Dateisynchronisierung auf Mobilgeräten. Die Entwicklung begann parallel zum Hauptprojekt Syncthing, das 2013 gestartet wurde, aber die Android-Version stand vor anhaltenden Herausforderungen aufgrund der sich ständig weiterentwickelnden Einschränkungen von Google in Bezug auf Hintergrunddienste, Dateizugriff und Play Store-Richtlinien.

Catfriend1 übernimmt

Besonders in den letzten beiden Jahren scheint die Entwicklung des Öfteren ins Stocken geraten zu sein. catfriend1, bis Anfang November Maintainer des Projekts, hatte es 2021 herum geforkt, um Einschränkungen der Benutzeroberfläche, Probleme mit dem Akku und häufige Binär-Updates zu beheben, und stellte häufiger Updates über Google Play und F-Droid zur Verfügung. Zu den Verbesserungen, die catfriend1 einbrachte, gehörten unter anderem ein sichtbarer Synchronisierungsfortschritt, SD-Kartenunterstützung und konfigurierbare Optionen. Die Abspaltung gewann an Popularität, als die offizielle App und die Veröffentlichungen dort stagnierten.

Catfriend1 taucht ab

Mitte November war plötzlich das GitHub-Repository von catfriend1 nicht mehr erreichbar und sein vorher öffentliches Profil gesperrt. Der 404 als Antwort im Repository war nicht ungewöhnlich, das kam des Öfteren vor. Aber dass der Maintainer nicht mehr erreichbar war, löste im offiziellen Syncthing-Forum Bedenken aus, angesichts der Tatsache, dass die App Zugriff auf das Dateisystem hat. In der Folge wurde auch das LiberaPay-Konto geschlossen. catfriend1 bleibt bis heute verschollen.

Undurchsichtiger Fork

Einen Tag später erklärte nel0x, der bisherige Herausgeber der Google-Play-Version, dass er versuchen wolle, die App in seinem Repository weiterzuentwickeln, bis die Situation geklärt ist. Noch einen Tag später tauchte ein Repo mit Catfriend1 (großes C) als Eigentümer auf, nur um kurz darauf zu researchxxl zu wechseln, einem User-Konto, das erst am 15. November angelegt wurde. Laut dem Forum ist researchxxl im Besitz des Repository-Schlüssels von catfriend1. Das Repository hat bis heute kein öffentliches Profil und researchxxl trat trotz diverser Einladungen nicht dem Syncthing-Forum bei. Verständlicherweise dachten einige Kommentatoren an die XZ Utils-Backdoor vom März 2024.

Leichte Entspannung

Vor einigen Tagen begann auf GitHub ein Austausch von researchxxl und nel0x über eine mögliche Zusammenarbeit am Syncthing for Android, die eher in die Richtung deutet, dass hier ein unbeholfener Maintainer unbeholfen eine App übernimmt. Im einfachsten Fall werden hier best practices sträflich vernachlässigt. Der alte Maintainer verschwindet ohne ein Wort. Der neue Maintainer stellt sich nirgends vor und erklärt die Situation. Es fehlt jegliche Transparenz. Deshalb bleibt verständliche Skepsis, bis sich die Situation geklärt hat. Wer automatische Updates zu Syncthing for Android bezieht, sollte die vermutlich bis dahin deaktivieren.

Danke an Leser Leo für den Hinweis.