Fedora e openSUSE abandonam o Deepin: entenda os motivos de segurança por trás da decisão

A equipe de segurança do openSUSE descobriu que um empacotador da comunidade implementou uma solução alternativa que contornava o mecanismo padrão de empacotamento RPM. Esse método permitia instalar certos componentes restritos sem passar pelo processo normal de revisão de segurança.

Esse tipo de desvio é considerado grave porque as regras de empacotamento existem justamente para garantir que componentes que interagem com partes sensíveis do sistema passem por auditorias rigorosas.

Após a descoberta, o projeto decidiu remover os pacotes do Deepin de suas distribuições até que os problemas fossem resolvidos.

Preocupações técnicas: D‑Bus e privilégios administrativos

Além das violações de política de empacotamento, revisões técnicas apontaram problemas de segurança em componentes do Deepin.

Alguns relatórios destacaram riscos relacionados a:

• serviços D‑Bus usados por aplicativos do Deepin
• possíveis caminhos de elevação de privilégios
• interação com Polkit (PolicyKit), sistema responsável por controlar permissões administrativas em sistemas Linux

Um exemplo frequentemente citado foi o serviço D‑Bus do gerenciador de arquivos do Deepin, cuja revisão de segurança estava em andamento havia anos sem chegar a uma conclusão estável. Revisores observaram que algumas correções resolviam apenas parcialmente os problemas ou introduziam novos riscos em versões posteriores.

Como serviços D‑Bus podem expor funcionalidades do sistema a aplicativos, qualquer erro de design ou permissões mal configuradas pode abrir portas para acesso indevido se não for cuidadosamente auditado.

Falta de resposta do projeto upstream

Outro fator importante foi a comunicação limitada com os desenvolvedores principais do Deepin (o chamado upstream).

Mantenedores do openSUSE relataram dificuldades para obter respostas consistentes durante revisões de segurança. Em alguns casos, correções fornecidas não resolviam completamente os problemas identificados.

Para distribuições Linux, a colaboração com o upstream é fundamental. Sem isso, torna‑se mais difícil:

• auditar código sensível
• confirmar que vulnerabilidades foram realmente corrigidas
• manter patches de segurança ao longo do tempo

Quando esses fatores se somam a violações de política e problemas técnicos, manter o software nos repositórios oficiais deixa de ser viável.

O que muda para quem ainda quer usar o Deepin

A remoção do Deepin dos repositórios não significa que o ambiente de desktop deixou de existir. Apenas indica que Fedora e openSUSE não irão mais distribuí‑lo ou mantê‑lo oficialmente.

Usuários que preferem o Deepin ainda têm algumas alternativas:

• usar uma distribuição que tenha o Deepin como ambiente principal
• instalar pacotes de repositórios não oficiais
• compilar o ambiente manualmente a partir do código‑fonte

No entanto, há um ponto importante: pacotes fora dos repositórios oficiais podem não passar pelo mesmo nível de auditoria de segurança exigido por distribuições como Fedora ou openSUSE.

O que esse caso mostra sobre governança no Linux

O caso do Deepin evidencia uma realidade importante no mundo Linux: popularidade ou aparência não são suficientes para garantir presença em uma distribuição.

Projetos precisam demonstrar:

• manutenção ativa
• cooperação com distribuidores
• conformidade com políticas de segurança

Quando esses requisitos não são atendidos, até ambientes de desktop populares podem ser removidos.

No fim, a decisão de Fedora e openSUSE reflete uma postura conservadora em relação à segurança — priorizando manutenção confiável e revisão rigorosa de código acima da variedade de opções disponíveis nos repositórios.