Afgørelsen kom efter en langvarig evaluering af Deepin-pakkernes tilstand i Fedora. Gennemgangen identificerede flere centrale problemer:

• Sikkerhedsproblemer i privilegerede komponenter brugt af Deepin
• Vedligeholdelsesmæssige huller i Fedoras pakker
• Vanskeligheder med at få svar fra vedligeholdere eller upstream-udviklere om fejl og sikkerhedsspørgsmål

For en distribution som Fedora, der lægger vægt på strenge sikkerheds- og pakkeringsstandarder, gjorde disse faktorer det stadig vanskeligere at fortsætte med at tilbyde pakkerne.

Hvorfor D‑Bus og Polkit vakte bekymring

Et af de centrale problemer handlede om Deepin-komponenter, der interagerer med privilegerede systemtjenester som D‑Bus og Polkit.

Disse teknologier styrer kommunikationen mellem applikationer og systemtjenester og håndhæver tilladelser til administrative operationer. Hvis software, der integrerer med dem, har designfejl eller utilstrækkelige sikkerhedsforanstaltninger, kan det potentielt give utilsigtet adgang til følsomme systemfunktioner.

Sikkerhedsgennemgange i det bredere Linux-økosystem havde allerede rejst bekymringer om, hvordan nogle Deepin-komponenter håndterede disse grænseflader. F.eks. fremhævede undersøgelser problemer i moduler, der interagerer med D-Bus og andre systemtjenester, hvilket kunne have større systempåvirkning end almindelige applikationsfejl.

Da disse komponenter opererer tæt på systemets privilegiegrænser, blev uafklarede problemer anset for at være højere risiko for et officielt distributionspakkesæt.

openSUSE’s rolle i sagen

Fedoras beslutning skete ikke i et vakuum. Et år tidligere fjernede openSUSE Deepin-skrivebordsmiljøet fra sine arkiver, efter at sikkerhedsteamet havde afdækket alvorlige pakkerings- og sikkerhedsproblemer.

openSUSE-undersøgelsen viste, at:

• Der var indført en pakkeworkaround, der omgik standard RPM-sikkerhedsprocedurer.
• Workarounden gjorde det muligt at installere komponenter, der normalt kræver sikkerhedsteamets godkendelse.
• Nogle af disse komponenter inkluderede D‑Bus systemtjenestekonfigurationer og Polkit-politikker, der styrer privilegerede operationer på systemet.

Sikkerhedsrevisorer beskrev omgåelsen som en betydelig politikovertrædelse, der var en del af et større mønster af sikkerhedsproblemer, der blev opdaget under kodegennemgange af Deepin-komponenter.

Efter fjernelsen udtalte openSUSE, at man ville genoverveje Deepin, hvis upstream løste problemerne og fremlagde forbedrede komponenter til gennemgang. Opfølgende gennemgange viste dog begrænset fremgang, så fjernelsen forblev gældende.

Fedora-udviklere undersøgte efterfølgende, om lignende bekymringer gjaldt for deres egne pakker, hvilket var med til at udløse den gennemgang, der førte til udfasningsafstemningen.

Vedligeholdelses- og kommunikationsproblemer

Ud over de tekniske sikkerhedsproblemer stødte Fedora-udviklerne også på praktiske vedligeholdelsesproblemer.

Rapporter fra gennemgangsprocessen noterede, at det var svært at få svar fra nogle vedligeholdere eller upstream-udviklere vedrørende fejlrapporter og sikkerhedsspørgsmål. For distributioner, der er afhængige af tæt samarbejde med upstream-projekter, er rettidige svar afgørende for at rette sårbarheder og opretholde stabile pakker.

Uden aktiv vedligeholdelse og koordinering blev det stadig mere risikabelt at beholde pakkerne i Fedoras arkiver.

Hvad betyder det for Deepin-brugere?

Udfasningen af Deepin-pakker fra Fedora og openSUSE betyder ikke, at skrivebordsmiljøet er ubrugeligt. Det betyder blot, at disse distributioner ikke længere tilbyder det som et officielt understøttet skrivebordsmiljø.

Brugere, der stadig ønsker at køre Deepin, har flere muligheder:

• Brug en Linux-distribution, der stadig officielt tilbyder Deepin
• Installer Deepin fra tredjeparts- eller fællesskabsarkiver
• Byg og pak Deepin-komponenterne manuelt

Disse tilgange lægger dog et større ansvar over på brugeren. Når en distributions sikkerheds- og pakkeringshold holder op med at vedligeholde softwaren, må brugerne stole på alternative kilder til opdateringer og sårbarhedsrettelser.

En bredere lektie for Linux-distributioner

Deepin-situationen illustrerer, hvordan Linux-distributioner balancerer anvendelighed med sikkerhed og vedligeholdelsesrealiteter. Selv visuelt polerede skrivebordsmiljøer skal opfylde strenge standarder for pakkering, sikkerhedsgennemgang og løbende support.

I dette tilfælde førte uafklarede sikkerhedsproblemer, problemer med privilegeret systemintegration og begrænset upstream-respons i sidste ende to store distributioner – openSUSE og Fedora – til at konkludere, at Deepin på nuværende tidspunkt ikke lever op til kravene for officiel inklusion i deres arkiver.

Afgørelsen kom efter en langvarig evaluering af Deepin-pakkernes tilstand i Fedora. Gennemgangen identificerede flere centrale problemer:

• Sikkerhedsproblemer i privilegerede komponenter brugt af Deepin
• Vedligeholdelsesmæssige huller i Fedoras pakker
• Vanskeligheder med at få svar fra vedligeholdere eller upstream-udviklere om fejl og sikkerhedsspørgsmål

For en distribution som Fedora, der lægger vægt på strenge sikkerheds- og pakkeringsstandarder, gjorde disse faktorer det stadig vanskeligere at fortsætte med at tilbyde pakkerne.

Hvorfor D‑Bus og Polkit vakte bekymring

Et af de centrale problemer handlede om Deepin-komponenter, der interagerer med privilegerede systemtjenester som D‑Bus og Polkit.

Disse teknologier styrer kommunikationen mellem applikationer og systemtjenester og håndhæver tilladelser til administrative operationer. Hvis software, der integrerer med dem, har designfejl eller utilstrækkelige sikkerhedsforanstaltninger, kan det potentielt give utilsigtet adgang til følsomme systemfunktioner.

Sikkerhedsgennemgange i det bredere Linux-økosystem havde allerede rejst bekymringer om, hvordan nogle Deepin-komponenter håndterede disse grænseflader. F.eks. fremhævede undersøgelser problemer i moduler, der interagerer med D-Bus og andre systemtjenester, hvilket kunne have større systempåvirkning end almindelige applikationsfejl.

Da disse komponenter opererer tæt på systemets privilegiegrænser, blev uafklarede problemer anset for at være højere risiko for et officielt distributionspakkesæt.

openSUSE’s rolle i sagen

Fedoras beslutning skete ikke i et vakuum. Et år tidligere fjernede openSUSE Deepin-skrivebordsmiljøet fra sine arkiver, efter at sikkerhedsteamet havde afdækket alvorlige pakkerings- og sikkerhedsproblemer.

openSUSE-undersøgelsen viste, at:

• Der var indført en pakkeworkaround, der omgik standard RPM-sikkerhedsprocedurer.
• Workarounden gjorde det muligt at installere komponenter, der normalt kræver sikkerhedsteamets godkendelse.
• Nogle af disse komponenter inkluderede D‑Bus systemtjenestekonfigurationer og Polkit-politikker, der styrer privilegerede operationer på systemet.

Sikkerhedsrevisorer beskrev omgåelsen som en betydelig politikovertrædelse, der var en del af et større mønster af sikkerhedsproblemer, der blev opdaget under kodegennemgange af Deepin-komponenter.

Efter fjernelsen udtalte openSUSE, at man ville genoverveje Deepin, hvis upstream løste problemerne og fremlagde forbedrede komponenter til gennemgang. Opfølgende gennemgange viste dog begrænset fremgang, så fjernelsen forblev gældende.

Fedora-udviklere undersøgte efterfølgende, om lignende bekymringer gjaldt for deres egne pakker, hvilket var med til at udløse den gennemgang, der førte til udfasningsafstemningen.

Vedligeholdelses- og kommunikationsproblemer

Ud over de tekniske sikkerhedsproblemer stødte Fedora-udviklerne også på praktiske vedligeholdelsesproblemer.

Rapporter fra gennemgangsprocessen noterede, at det var svært at få svar fra nogle vedligeholdere eller upstream-udviklere vedrørende fejlrapporter og sikkerhedsspørgsmål. For distributioner, der er afhængige af tæt samarbejde med upstream-projekter, er rettidige svar afgørende for at rette sårbarheder og opretholde stabile pakker.

Uden aktiv vedligeholdelse og koordinering blev det stadig mere risikabelt at beholde pakkerne i Fedoras arkiver.

Hvad betyder det for Deepin-brugere?

Udfasningen af Deepin-pakker fra Fedora og openSUSE betyder ikke, at skrivebordsmiljøet er ubrugeligt. Det betyder blot, at disse distributioner ikke længere tilbyder det som et officielt understøttet skrivebordsmiljø.

Brugere, der stadig ønsker at køre Deepin, har flere muligheder:

• Brug en Linux-distribution, der stadig officielt tilbyder Deepin
• Installer Deepin fra tredjeparts- eller fællesskabsarkiver
• Byg og pak Deepin-komponenterne manuelt

Disse tilgange lægger dog et større ansvar over på brugeren. Når en distributions sikkerheds- og pakkeringshold holder op med at vedligeholde softwaren, må brugerne stole på alternative kilder til opdateringer og sårbarhedsrettelser.

En bredere lektie for Linux-distributioner

Deepin-situationen illustrerer, hvordan Linux-distributioner balancerer anvendelighed med sikkerhed og vedligeholdelsesrealiteter. Selv visuelt polerede skrivebordsmiljøer skal opfylde strenge standarder for pakkering, sikkerhedsgennemgang og løbende support.

I dette tilfælde førte uafklarede sikkerhedsproblemer, problemer med privilegeret systemintegration og begrænset upstream-respons i sidste ende to store distributioner – openSUSE og Fedora – til at konkludere, at Deepin på nuværende tidspunkt ikke lever op til kravene for officiel inklusion i deres arkiver.