เหตุผลที่ Fedora และ openSUSE เลิกใช้ Deepin Desktop Environment

ทีมความปลอดภัยของ openSUSE พบว่า มีการใช้ วิธี workaround ในแพ็กเกจ เพื่อหลีกเลี่ยงกลไกการแพ็กเกจ RPM ปกติของระบบ

วิธีดังกล่าวทำให้สามารถติดตั้งไฟล์หรือองค์ประกอบบางอย่างได้ โดยไม่ผ่านกระบวนการตรวจสอบความปลอดภัยตามมาตรฐานของดิสโทร

สำหรับโครงการอย่าง openSUSE ซึ่งมีนโยบายการแพ็กเกจที่เข้มงวด นี่ถือเป็นการละเมิดกฎสำคัญ เพราะส่วนประกอบที่มีสิทธิ์ระดับระบบต้องผ่านการตรวจสอบก่อนเสมอ

เมื่อพบปัญหานี้ โครงการจึงตัดสินใจ ถอดแพ็กเกจ Deepin ออกจากดิสโทรทั้งหมดชั่วคราวจนกว่าจะมีการแก้ไขปัญหา

ประเด็นความปลอดภัยเกี่ยวกับ D‑Bus และ Polkit

นอกจากเรื่องนโยบายแพ็กเกจแล้ว ยังมีการพูดถึงปัญหาทางเทคนิคด้านความปลอดภัยใน Deepin หลายจุด

รายงานการตรวจสอบบางส่วนระบุถึงความเสี่ยงที่เกี่ยวข้องกับ

• บริการ D‑Bus ของบางคอมโพเนนต์
• การจัดการสิทธิ์ผ่าน Polkit (PolicyKit) ซึ่งใช้ควบคุมการขอสิทธิ์ผู้ดูแลระบบ

ตัวอย่างหนึ่งคือ บริการ D‑Bus ของตัวจัดการไฟล์ Deepin ซึ่งถูกตรวจสอบด้านความปลอดภัยมานานหลายปี แต่ยังไม่สามารถปิดประเด็นทั้งหมดได้สำเร็จ

ผู้ตรวจสอบระบุว่า บางครั้งการแก้ไขจาก upstream แก้ปัญหาเพียงบางส่วน หรือมีโค้ดใหม่ที่สร้างประเด็นใหม่ขึ้นมาอีก ทำให้การตรวจสอบกลายเป็นกระบวนการที่ยืดเยื้อ

เนื่องจาก D‑Bus สามารถเปิดทางให้แอปพลิเคชันเข้าถึงบริการระดับระบบได้ หากออกแบบไม่รัดกุม อาจนำไปสู่ การยกระดับสิทธิ์ (privilege escalation) ได้

ปัญหาการสื่อสารกับผู้พัฒนา upstream

อีกปัจจัยที่มีผลต่อการตัดสินใจของทั้งสองดิสโทรคือ การตอบสนองจากโครงการต้นน้ำของ Deepin

ผู้ดูแลใน openSUSE ระบุว่าบางครั้งการสื่อสารกับ upstream ทำได้ยาก และการแก้ไขที่ส่งกลับมา ไม่ได้แก้ปัญหาอย่างครบถ้วน

สำหรับดิสโทร Linux ความร่วมมือกับ upstream เป็นเรื่องสำคัญ เพราะต้องอาศัยการทำงานร่วมกันเพื่อ

• ตรวจสอบโค้ดที่เกี่ยวข้องกับความปลอดภัย
• ยืนยันว่าช่องโหว่ได้รับการแก้ไขจริง
• ดูแลแพตช์และการอัปเดตในระยะยาว

เมื่อการประสานงานทำได้ยาก ความเสี่ยงในการดูแลแพ็กเกจก็จะเพิ่มขึ้น

ผู้ใช้ยังสามารถใช้ Deepin ได้หรือไม่

การที่ Fedora และ openSUSE ถอด Deepin ออกจากรีโพซิทอรี ไม่ได้หมายความว่า Deepin หายไปจากโลก Linux

ผู้ใช้ยังมีตัวเลือก เช่น

• ใช้ดิสโทรที่มี Deepin เป็นเดสก์ท็อปหลัก
• ติดตั้งผ่านรีโพซิทอรีของบุคคลที่สาม
• คอมไพล์จากซอร์สโค้ดเอง

อย่างไรก็ตาม วิธีเหล่านี้มีข้อแลกเปลี่ยน เพราะแพ็กเกจที่อยู่นอกคลังอย่างเป็นทางการ อาจไม่ได้ผ่านการตรวจสอบความปลอดภัยหรือมาตรฐานการแพ็กเกจในระดับเดียวกับ Fedora หรือ openSUSE

บทเรียนสำหรับระบบนิเวศของ Linux

กรณีของ Deepin แสดงให้เห็นว่าการที่ซอฟต์แวร์จะถูกรวมอยู่ในดิสโทร Linux ไม่ได้ขึ้นอยู่กับความนิยมหรือความสวยงามเพียงอย่างเดียว

สิ่งที่สำคัญไม่แพ้กันคือ

• ความโปร่งใสของโค้ด
• การตรวจสอบความปลอดภัย
• การดูแลโครงการอย่างต่อเนื่อง

สำหรับ Fedora และ openSUSE การถอด Deepin จึงเป็นการตัดสินใจที่เน้น ความปลอดภัยและความน่าเชื่อถือของระบบโดยรวม มากกว่าการรักษาตัวเลือกเดสก์ท็อปทุกแบบไว้ในรีโพซิทอรี