פדורה מפסיקה לתמוך רשמית בסביבת שולחן העבודה Deepin

• חששות אבטחה ברכיבי מערכת בעלי הרשאות גבוהות המשמשים את Deepin
• פערי תחזוקה בחבילות פדורה
• קושי לקבל תגובה בזמן ממתחזקי החבילות או מצוות הפיתוח המקורי בנושאי באגים ואבטחה

עבור הפצה כמו פדורה, השואפת לשמור על סטנדרטים גבוהים של אבטחת מידע ואריזת חבילות, שיקולים אלה הפכו את המשך ההפצה לבלתי אפשרי.

מדוע D-Bus ו-Polkit עוררו חששות אבטחה?

אחת הבעיות המרכזיות נגעה לרכיבי Deepin המקיימים אינטראקציה עם שירותי מערכת בעלי הרשאות גבוהות כמו D-Bus ו-Polkit.

טכנולוגיות אלו מנהלות את התקשורת בין יישומים שונים לבין שירותי המערכת, ואוכפות הרשאות לפעולות ניהוליות. אם תוכנה המשלבת איתן מכילה ליקויי תכנון או אמצעי הגנה לא מספקים, היא עלולה לאפשר גישה לא מורשית לפונקציות מערכת רגישות.

סקירות אבטחה באקוסיסטם הרחב יותר של לינוקס העלו חששות לגבי האופן שבו רכיבי Deepin מסוימים מטפלים בממשקים אלה. לדוגמה, תחקירים הדגישו בעיות במודולים המקיימים אינטראקציה עם D-Bus ושירותי מערכת אחרים, שעלולות להיות בעלות השפעה רחבה יותר על המערכת מאשר באגים רגילים.

מכיוון שרכיבים אלה פועלים קרוב לגבולות ההרשאות של המערכת, בעיות לא פתורות נחשבו לסיכון גבוה יותר עבור חבילות רשמיות בהפצה.

ההשפעה של הסרת Deepin מ-openSUSE

ההחלטה של פדורה לא התקבלה בחלל ריק. שנה קודם לכן, openSUSE הסירה את Deepin מהמאגרים שלה לאחר שצוות האבטחה שלה גילה חששות כבדים בנושאי אבטחה ואריזה.

החקירה של openSUSE העלתה כי:

• הוכנס עקיפת נהלים בחבילה שאפשרה לעקוף את תהליכי סקירת האבטחה התקניים של RPM.
• העקיפה אפשרה התקנה של רכיבים הדורשים אישור צוות אבטחה.
• חלק מאותם רכיבים כללו קובצי שירות D-Bus ומדיניות Polkit, השולטים בפעולות מורשות במערכת.

מבקרי אבטחה תיארו את העקיפה כהפרת מדיניות חמורה, כחלק מדפוס רחב יותר של בעיות אבטחה שהתגלו במהלך סקירות קוד של רכיבי Deepin.

לאחר ההסרה, openSUSE הצהירה כי תשקול מחדש את Deepin אם צוות הפיתוח יטפל בבעיות ויציג רכיבים משופרים לבדיקה. בדיקות המשך דיווחו על התקדמות מוגבלת, ולכן ההסרה נותרה בתוקף.

מפתחי פדורה בחנו בהמשך האם חששות דומים חלים על החבילות שלהם, מה שתרם לפתיחת תהליך הבדיקה שהוביל בסופו של דבר להצבעה על הסרתן.

בעיות תחזוקה ותקשורת עם צוות הפיתוח

מעבר לחששות אבטחה טכניים, מפתחי פדורה נתקלו גם בבעיות תחזוקה מעשיות.

דיווחים מתהליך הבדיקה ציינו כי היה קושי לקבל תגובות מחלק מהמתחזקים או מצוות הפיתוח בנוגע לדיווחי באגים ושאלות אבטחה. עבור הפצות הנשענות במידה רבה על שיתוף פעולה עם פרויקטים מקוריים, תגובות בזמן הן קריטיות לתיקון פרצות אבטחה ושמירה על חבילות יציבות.

ללא תחזוקה פעילה ותיאום, שמירת החבילות במאגרי פדורה הפכה למסוכנת יותר ויותר.

מה המשמעות למשתמשי Deepin?

הסרת חבילות Deepin מפדורה ו-openSUSE אינה אומרת שסביבת שולחן העבודה אינה שמישה. במקום זאת, המשמעות היא שאותן הפצות לא יספקו אותה עוד כסביבת שולחן עבודה נתמכת רשמית.

משתמשים שעדיין רוצים להריץ את Deepin יכולים בדרך כלל:

• להשתמש בהפצת לינוקס שעדיין כוללת את Deepin רשמית
• להתקין את Deepin ממאגרים קהילתיים או צד שלישי
• לבנות ולארוז את רכיבי Deepin באופן ידני

עם זאת, גישות אלו מעבירות אחריות רבה יותר למשתמש. כאשר צוותי האבטחה והאריזה של הפצה מפסיקים לתחזק תוכנה, המשתמש חייב להסתמך על מקורות חלופיים לעדכונים ותיקוני פרצות.

לקח רחב יותר להפצות לינוקס

פרשת Deepin מדגישה כיצד הפצות לינוקס מאזנות בין שימושיות לבין אבטחה ומציאות תחזוקתית. אפילו סביבות שולחן עבודה מלוטשות מבחינה ויזואלית חייבות לעמוד בסטנדרטים מחמירים לאריזה, סקירת אבטחה ותמיכה שוטפת.

במקרה זה, חששות אבטחה לא פתורים, בעיות אינטגרציה עם מערכת ההרשאות, והיענות מוגבלת מצד צוות הפיתוח, הובילו שתי הפצות גדולות—openSUSE ופדורה—להסיק ש-Deepin אינה עומדת כרגע ברף הנדרש להכללה רשמית במאגרים.