Почему Fedora отказалась от рабочего стола Deepin

• D‑Bus — это система обмена сообщениями между приложениями и системными службами.
• Polkit отвечает за проверку прав доступа при выполнении административных операций.

Если программное обеспечение неправильно интегрируется с этими механизмами, это может привести к ситуации, когда обычное приложение получает доступ к операциям, требующим повышенных прав.

Исследования безопасности в экосистеме Linux уже отмечали проблемы в некоторых компонентах Deepin, включая модули, взаимодействующие с D‑Bus и системными службами. Подобные ошибки потенциально опаснее обычных багов интерфейса, поскольку могут затрагивать всю систему.

Предыстория: удаление Deepin из openSUSE

Решение Fedora появилось не на пустом месте. Годом ранее, в 2025 году, дистрибутив openSUSE также удалил Deepin из своих репозиториев после проверки безопасности.

Команда безопасности SUSE обнаружила ряд проблем:

• один из пакетов использовал обходной механизм, позволяющий обойти стандартную процедуру проверки безопасности RPM;
• благодаря этому обходу устанавливались компоненты, которые обычно требуют отдельного одобрения команды безопасности;
• среди таких компонентов были службы D‑Bus и политики Polkit, управляющие привилегированными операциями.

Специалисты по безопасности сочли такой обход серьёзным нарушением правил проекта. Кроме того, во время аудита кода были обнаружены и другие проблемы безопасности в компонентах Deepin.

После удаления разработчики openSUSE заявили, что готовы пересмотреть решение, если upstream‑проект исправит проблемы и представит обновлённые компоненты для повторной проверки. Однако последующие проверки показали ограниченный прогресс, поэтому удаление осталось в силе.

Позднее разработчики Fedora изучили, могут ли те же проблемы присутствовать и в их пакетах Deepin — именно это и запустило собственный процесс проверки, который закончился удалением пакетов.

Проблемы сопровождения и коммуникации

Помимо технических вопросов безопасности, в Fedora столкнулись и с организационными проблемами сопровождения.

По сообщениям участников обсуждения, разработчикам было сложно получать ответы на отчёты об ошибках и вопросы по безопасности от некоторых сопровождающих или разработчиков проекта Deepin.

Для Linux‑дистрибутивов тесное сотрудничество с upstream‑проектами критически важно: без оперативной реакции на уязвимости сложно поддерживать стабильность и безопасность пакетов.

Что это значит для пользователей Deepin

Удаление пакетов Deepin из Fedora и openSUSE не делает этот рабочий стол недоступным.

Но теперь он больше не считается официально поддерживаемым окружением рабочего стола в этих дистрибутивах.

Пользователи, которые всё ещё хотят использовать Deepin, могут:

• выбрать дистрибутив Linux, где Deepin по‑прежнему распространяется официально;
• установить его из сторонних или community‑репозиториев;
• собрать и установить компоненты вручную.

Однако в этих сценариях ответственность за обновления и безопасность ложится на пользователя, поскольку команды безопасности дистрибутивов больше не сопровождают эти пакеты.

Более широкий урок для экосистемы Linux

История с Deepin показывает, как дистрибутивы Linux балансируют между удобством для пользователей и требованиями безопасности.

Даже популярная и визуально привлекательная среда рабочего стола должна соответствовать строгим требованиям: безопасная архитектура, прозрачная интеграция с системными компонентами, активное сопровождение и оперативная реакция на уязвимости.

В случае Deepin сочетание неразрешённых вопросов безопасности, работы с привилегированными системными сервисами и ограниченной реакции upstream‑проекта привело к тому, что сразу два крупных дистрибутива — openSUSE и Fedora — решили временно отказаться от её распространения через официальные репозитории.