Fedora ถอด Deepin Desktop ออกจากคลังแพ็กเกจ เกิดอะไรขึ้นและกระทบผู้ใช้อย่างไร

Fedora Linux ได้ตัดสินใจ เลิกเผยแพร่แพ็กเกจของ Deepin Desktop Environment (DDE) ออกจากคลังซอฟต์แวร์อย่างเป็นทางการ หลังการตรวจสอบโดยคณะกรรมการ Fedora Engineering Steering Committee หรือ FESCo ซึ่งพบข้อกังวลด้านความปลอดภัย การบำรุงรักษาแพ็กเกจ และการสื่อสารกับโครงการต้นน้ำ

การตัดสินใจนี้ไม่ได้หมายความว่า Deepin จะใช้งานบน Fedora ไม่ได้อีกต่อไป แต่หมายความว่า Fedora จะไม่จัดแพ็กเกจและดูแล DDE อย่างเป็นทางการ เว้นแต่จะมีการตรวจสอบใหม่และผ่านมาตรฐานด้านความปลอดภัยในอนาคต

การตัดสินใจของ Fedora

ในเดือนพฤษภาคม 2026 คณะกรรมการ FESCo ลงมติให้ยุติแพ็กเกจที่เกี่ยวข้องกับ Deepin ทั้งหมดใน Fedora โดยผลโหวตเป็นเอกฉันท์ และทีม release engineering ได้รับคำสั่งว่า ห้ามนำแพ็กเกจเหล่านี้กลับเข้ามาอีก เว้นแต่จะผ่านกระบวนการตรวจสอบใหม่ทั้งหมด

การตรวจสอบพบปัญหาหลักหลายด้าน เช่น

• ข้อกังวลด้านความปลอดภัยในส่วนที่ทำงานด้วยสิทธิ์ระดับระบบ
• ช่องว่างในการดูแลและบำรุงรักษาแพ็กเกจใน Fedora
• การตอบกลับจากผู้ดูแลหรือโครงการต้นน้ำที่ล่าช้าหรือไม่สม่ำเสมอ

สำหรับดิสทริบิวชันอย่าง Fedora ที่ให้ความสำคัญกับมาตรฐานด้านความปลอดภัยและคุณภาพแพ็กเกจ ปัจจัยเหล่านี้ทำให้การคง Deepin ไว้ใน repository กลายเป็นเรื่องยากขึ้นเรื่อย ๆ

ปัญหาด้านความปลอดภัยที่เกี่ยวข้องกับ D‑Bus และ Polkit

หนึ่งในประเด็นสำคัญคือส่วนประกอบของ Deepin ที่เชื่อมต่อกับบริการระบบที่มีสิทธิ์สูง เช่น D‑Bus และ Polkit

• D‑Bus เป็นระบบสื่อสารระหว่างโปรแกรมและบริการของระบบ
• Polkit ใช้กำหนดสิทธิ์สำหรับการดำเนินการระดับผู้ดูแลระบบ

หากซอฟต์แวร์ที่เชื่อมต่อกับระบบเหล่านี้มีการออกแบบหรือการควบคุมสิทธิ์ที่ไม่ปลอดภัย อาจเปิดช่องให้ผู้ใช้หรือโปรแกรมเข้าถึงฟังก์ชันสำคัญของระบบโดยไม่ได้รับอนุญาต

การตรวจสอบด้านความปลอดภัยในชุมชนลินุกซ์เคยตั้งข้อสังเกตว่าโมดูลบางส่วนของ Deepin ที่เชื่อมกับ D‑Bus และบริการระบบอื่น ๆ มีปัญหาเชิงโครงสร้าง ซึ่งอาจส่งผลกระทบต่อระบบในวงกว้างมากกว่าบั๊กของแอปพลิเคชันทั่วไป

เนื่องจากส่วนประกอบเหล่านี้ทำงานใกล้กับขอบเขตสิทธิ์ของระบบ ปัญหาที่ยังไม่ได้แก้ไขจึงถูกมองว่ามีความเสี่ยงสูงสำหรับแพ็กเกจใน repository อย่างเป็นทางการ

การตัดสินใจของ Fedora เชื่อมโยงกับ openSUSE

ก่อนหน้าการตัดสินใจของ Fedora ประมาณหนึ่งปี โครงการ openSUSE ได้ลบ Deepin Desktop Environment ออกจาก repository ในปี 2025 หลังทีมความปลอดภัยพบปัญหาหลายประการ

ผลการตรวจสอบของ openSUSE ระบุว่า

• มีการใช้วิธีแก้ปัญหาในแพ็กเกจที่ หลบเลี่ยงขั้นตอนตรวจสอบความปลอดภัยของระบบ RPM
• วิธีดังกล่าวทำให้สามารถติดตั้งส่วนประกอบที่ปกติจะต้องผ่านการตรวจสอบจากทีมความปลอดภัย
• ส่วนประกอบบางรายการเกี่ยวข้องกับไฟล์บริการของ D‑Bus และนโยบาย Polkit ซึ่งควบคุมการทำงานที่มีสิทธิ์สูงในระบบ

ทีมความปลอดภัยของ SUSE มองว่าการหลบเลี่ยงขั้นตอนตรวจสอบเช่นนี้เป็นการละเมิดนโยบายอย่างร้ายแรง และยังพบปัญหาด้านความปลอดภัยอื่น ๆ ระหว่างการตรวจสอบโค้ดของ Deepin

หลังจากลบออก openSUSE ระบุว่ายินดีพิจารณา Deepin ใหม่หากโครงการต้นน้ำปรับปรุงด้านความปลอดภัย แต่การตรวจสอบติดตามผลในภายหลังรายงานว่าความคืบหน้ายังมีจำกัด

เหตุการณ์ดังกล่าวทำให้นักพัฒนา Fedora เริ่มตรวจสอบแพ็กเกจ Deepin ของตนเอง และนำไปสู่การตัดสินใจยุติแพ็กเกจในที่สุด

ปัญหาการดูแลแพ็กเกจและการสื่อสาร

นอกจากประเด็นเทคนิคแล้ว Fedora ยังพบปัญหาในเชิงกระบวนการพัฒนา

รายงานจากการตรวจสอบระบุว่า นักพัฒนาของ Fedora ติดต่อผู้ดูแลแพ็กเกจหรือทีมพัฒนาต้นน้ำได้ยาก เมื่อมีรายงานบั๊กหรือคำถามด้านความปลอดภัย

สำหรับดิสทริบิวชันลินุกซ์ที่ต้องพึ่งพาความร่วมมือกับโครงการต้นน้ำ การตอบสนองอย่างรวดเร็วเป็นสิ่งสำคัญต่อการแก้ไขช่องโหว่และดูแลความเสถียรของแพ็กเกจ

หากขาดการประสานงานและการบำรุงรักษาที่ต่อเนื่อง การปล่อยแพ็กเกจต่อไปอาจเพิ่มความเสี่ยงให้ผู้ใช้

ผู้ใช้ Deepin ยังมีทางเลือกอะไรบ้าง

แม้ Fedora และ openSUSE จะเลิกแพ็กเกจ Deepin แล้ว แต่ไม่ได้หมายความว่าเดสก์ท็อปนี้ใช้งานไม่ได้

ผู้ใช้ที่ต้องการใช้ Deepin ยังสามารถเลือกได้ เช่น

• ใช้ดิสทริบิวชันลินุกซ์ที่ยังจัดส่ง Deepin อย่างเป็นทางการ
• ติดตั้งผ่าน repository ภายนอกหรือชุมชน
• สร้างแพ็กเกจหรือคอมไพล์จากซอร์สด้วยตนเอง

อย่างไรก็ตาม วิธีเหล่านี้หมายความว่าผู้ใช้ต้องรับผิดชอบเรื่อง ความปลอดภัยและการอัปเดตด้วยตัวเองมากขึ้น เพราะทีมความปลอดภัยของดิสทริบิวชันจะไม่ได้ดูแลแพ็กเกจเหล่านั้นโดยตรง

บทเรียนสำหรับโครงการโอเพ่นซอร์ส

กรณีของ Deepin แสดงให้เห็นถึงสมดุลที่ดิสทริบิวชันลินุกซ์ต้องรักษาระหว่างประสบการณ์ผู้ใช้กับมาตรฐานด้านความปลอดภัย

แม้ Deepin จะเป็นเดสก์ท็อปที่มีชื่อเสียงเรื่องหน้าตาที่สวยงามและใช้งานง่าย แต่สำหรับดิสทริบิวชันหลักอย่าง Fedora และ openSUSE ซอฟต์แวร์ที่จะอยู่ใน repository อย่างเป็นทางการต้องผ่านมาตรฐานด้าน การตรวจสอบความปลอดภัย การดูแลแพ็กเกจ และการสนับสนุนจากโครงการต้นน้ำ อย่างต่อเนื่อง

ในกรณีนี้ ปัญหาด้านความปลอดภัย การผสานกับบริการระบบที่มีสิทธิ์สูง และการตอบสนองจากโครงการต้นน้ำที่จำกัด ทำให้สองดิสทริบิวชันหลักตัดสินใจว่า Deepin ยังไม่พร้อมสำหรับการรวมอยู่ใน repository อย่างเป็นทางการในตอนนี้