Fedora와 openSUSE가 Deepin 데스크톱을 저장소에서 제외한 이유

openSUSE 프로젝트는 패키징 규칙을 매우 엄격하게 적용한다. 시스템 기능이나 권한과 관련된 구성요소는 반드시 보안 검토를 통과해야 한다. 이 절차가 우회된 것은 중대한 정책 위반으로 간주됐다.

이 사건 이후 openSUSE는 Deepin 패키지를 배포판에서 제거하기로 결정했다.

D‑Bus와 권한 처리 관련 보안 문제

패키징 문제 외에도 기술적인 보안 이슈가 여러 차례 지적됐다.

특히 다음 영역이 반복적으로 언급됐다.

• D‑Bus 서비스 구조
• Polkit(PolicyKit) 권한 처리 방식

D‑Bus는 리눅스에서 애플리케이션과 시스템 서비스가 통신하는 핵심 메커니즘이다. 이 인터페이스가 잘못 설계되면 애플리케이션이 의도하지 않은 시스템 권한에 접근할 가능성이 생길 수 있다.

리뷰 과정에서는 특히 Deepin 파일 관리자에 포함된 D‑Bus 서비스가 장기간 검토 대상이었는데, 문제가 완전히 해결되지 않았다는 지적이 있었다.

보고에 따르면 일부 수정은 문제를 부분적으로만 해결하거나, 이후 업데이트에서 새로운 문제가 생기기도 했다.

또한 일부 보도에서는 D‑Bus와 Polkit 권한 처리와 관련된 보안 문제들이 계속 제기되었다고 언급된다.

업스트림 협력 부족 문제

또 하나 중요한 요인은 업스트림 프로젝트와의 협력 문제였다.

openSUSE 측 유지보수자들은 보안 검토 과정에서 다음과 같은 어려움을 겪었다고 설명했다.

• 보고된 문제에 대한 불완전한 수정
• 문제 분석이 충분히 이루어지지 않은 상태에서의 패치
• 업스트림 개발자와의 의사소통 어려움

리눅스 배포판은 대부분 업스트림 프로젝트와 긴밀하게 협력해 패키지를 유지한다. 이런 협력이 원활하지 않으면 다음 작업이 어려워진다.

• 보안 민감 코드 검토
• 취약점 수정 확인
• 장기 패치 유지

이러한 문제들이 누적되면서 두 배포판 모두 Deepin을 공식 저장소에서 유지하기 어렵다고 판단하게 됐다.

그래도 Deepin을 사용하고 싶은 사용자라면

Fedora와 openSUSE 저장소에서 제거된다고 해서 Deepin 자체가 사라지는 것은 아니다. 단지 해당 배포판이 공식적으로 패키지를 제공하거나 유지하지 않는다는 의미다.

Deepin을 계속 사용하려는 사용자에게는 몇 가지 선택지가 있다.

• Deepin을 기본 데스크톱으로 제공하는 배포판 사용
• 비공식 저장소에서 패키지 설치
• 소스 코드에서 직접 빌드

다만 비공식 패키지를 사용할 경우 주의해야 한다. Fedora나 openSUSE 공식 저장소처럼 엄격한 보안 검토나 패키징 정책 검증을 거치지 않았을 가능성이 있기 때문이다.

리눅스 배포판이 소프트웨어를 선택하는 기준

이번 Deepin 사례는 리눅스 배포판이 소프트웨어를 포함할 때 어떤 기준을 사용하는지 보여준다.

배포판에 포함되는 기준은 단순히 인기나 기능이 아니다. 다음 요소가 더 중요하게 고려된다.

• 지속 가능한 유지보수
• 투명한 코드 검토
• 보안 정책 준수

즉, 디자인이 뛰어나거나 사용자 경험이 좋아도 보안 검토와 유지보수가 안정적으로 이루어지지 않으면 공식 저장소에서 제외될 수 있다.

Fedora와 openSUSE의 결정은 결국 같은 방향을 가리킨다. 두 프로젝트 모두 편의성보다 신뢰 가능한 보안과 패키지 관리 체계를 우선시했다는 점이다.