ทีมความปลอดภัยของ openSUSE พบว่า มีการใช้ วิธี workaround ในแพ็กเกจ เพื่อหลีกเลี่ยงกลไกการแพ็กเกจ RPM ปกติของระบบ
วิธีดังกล่าวทำให้สามารถติดตั้งไฟล์หรือองค์ประกอบบางอย่างได้ โดยไม่ผ่านกระบวนการตรวจสอบความปลอดภัยตามมาตรฐานของดิสโทร
สำหรับโครงการอย่าง openSUSE ซึ่งมีนโยบายการแพ็กเกจที่เข้มงวด นี่ถือเป็นการละเมิดกฎสำคัญ เพราะส่วนประกอบที่มีสิทธิ์ระดับระบบต้องผ่านการตรวจสอบก่อนเสมอ
เมื่อพบปัญหานี้ โครงการจึงตัดสินใจ ถอดแพ็กเกจ Deepin ออกจากดิสโทรทั้งหมดชั่วคราวจนกว่าจะมีการแก้ไขปัญหา
นอกจากเรื่องนโยบายแพ็กเกจแล้ว ยังมีการพูดถึงปัญหาทางเทคนิคด้านความปลอดภัยใน Deepin หลายจุด
รายงานการตรวจสอบบางส่วนระบุถึงความเสี่ยงที่เกี่ยวข้องกับ
ตัวอย่างหนึ่งคือ บริการ D‑Bus ของตัวจัดการไฟล์ Deepin ซึ่งถูกตรวจสอบด้านความปลอดภัยมานานหลายปี แต่ยังไม่สามารถปิดประเด็นทั้งหมดได้สำเร็จ
ผู้ตรวจสอบระบุว่า บางครั้งการแก้ไขจาก upstream แก้ปัญหาเพียงบางส่วน หรือมีโค้ดใหม่ที่สร้างประเด็นใหม่ขึ้นมาอีก ทำให้การตรวจสอบกลายเป็นกระบวนการที่ยืดเยื้อ
เนื่องจาก D‑Bus สามารถเปิดทางให้แอปพลิเคชันเข้าถึงบริการระดับระบบได้ หากออกแบบไม่รัดกุม อาจนำไปสู่ การยกระดับสิทธิ์ (privilege escalation) ได้
อีกปัจจัยที่มีผลต่อการตัดสินใจของทั้งสองดิสโทรคือ การตอบสนองจากโครงการต้นน้ำของ Deepin
ผู้ดูแลใน openSUSE ระบุว่าบางครั้งการสื่อสารกับ upstream ทำได้ยาก และการแก้ไขที่ส่งกลับมา ไม่ได้แก้ปัญหาอย่างครบถ้วน
สำหรับดิสโทร Linux ความร่วมมือกับ upstream เป็นเรื่องสำคัญ เพราะต้องอาศัยการทำงานร่วมกันเพื่อ
เมื่อการประสานงานทำได้ยาก ความเสี่ยงในการดูแลแพ็กเกจก็จะเพิ่มขึ้น
การที่ Fedora และ openSUSE ถอด Deepin ออกจากรีโพซิทอรี ไม่ได้หมายความว่า Deepin หายไปจากโลก Linux
ผู้ใช้ยังมีตัวเลือก เช่น
อย่างไรก็ตาม วิธีเหล่านี้มีข้อแลกเปลี่ยน เพราะแพ็กเกจที่อยู่นอกคลังอย่างเป็นทางการ อาจไม่ได้ผ่านการตรวจสอบความปลอดภัยหรือมาตรฐานการแพ็กเกจในระดับเดียวกับ Fedora หรือ openSUSE
กรณีของ Deepin แสดงให้เห็นว่าการที่ซอฟต์แวร์จะถูกรวมอยู่ในดิสโทร Linux ไม่ได้ขึ้นอยู่กับความนิยมหรือความสวยงามเพียงอย่างเดียว
สิ่งที่สำคัญไม่แพ้กันคือ
สำหรับ Fedora และ openSUSE การถอด Deepin จึงเป็นการตัดสินใจที่เน้น ความปลอดภัยและความน่าเชื่อถือของระบบโดยรวม มากกว่าการรักษาตัวเลือกเดสก์ท็อปทุกแบบไว้ในรีโพซิทอรี
Comments
0 comments