Fedora ถอด Deepin Desktop ออกจากคลังแพ็กเกจ เกิดอะไรขึ้นและกระทบผู้ใช้อย่างไร

การตรวจสอบด้านความปลอดภัยในชุมชนลินุกซ์เคยตั้งข้อสังเกตว่าโมดูลบางส่วนของ Deepin ที่เชื่อมกับ D‑Bus และบริการระบบอื่น ๆ มีปัญหาเชิงโครงสร้าง ซึ่งอาจส่งผลกระทบต่อระบบในวงกว้างมากกว่าบั๊กของแอปพลิเคชันทั่วไป

เนื่องจากส่วนประกอบเหล่านี้ทำงานใกล้กับขอบเขตสิทธิ์ของระบบ ปัญหาที่ยังไม่ได้แก้ไขจึงถูกมองว่ามีความเสี่ยงสูงสำหรับแพ็กเกจใน repository อย่างเป็นทางการ

การตัดสินใจของ Fedora เชื่อมโยงกับ openSUSE

ก่อนหน้าการตัดสินใจของ Fedora ประมาณหนึ่งปี โครงการ openSUSE ได้ลบ Deepin Desktop Environment ออกจาก repository ในปี 2025 หลังทีมความปลอดภัยพบปัญหาหลายประการ

ผลการตรวจสอบของ openSUSE ระบุว่า

• มีการใช้วิธีแก้ปัญหาในแพ็กเกจที่ หลบเลี่ยงขั้นตอนตรวจสอบความปลอดภัยของระบบ RPM
• วิธีดังกล่าวทำให้สามารถติดตั้งส่วนประกอบที่ปกติจะต้องผ่านการตรวจสอบจากทีมความปลอดภัย
• ส่วนประกอบบางรายการเกี่ยวข้องกับไฟล์บริการของ D‑Bus และนโยบาย Polkit ซึ่งควบคุมการทำงานที่มีสิทธิ์สูงในระบบ

ทีมความปลอดภัยของ SUSE มองว่าการหลบเลี่ยงขั้นตอนตรวจสอบเช่นนี้เป็นการละเมิดนโยบายอย่างร้ายแรง และยังพบปัญหาด้านความปลอดภัยอื่น ๆ ระหว่างการตรวจสอบโค้ดของ Deepin

หลังจากลบออก openSUSE ระบุว่ายินดีพิจารณา Deepin ใหม่หากโครงการต้นน้ำปรับปรุงด้านความปลอดภัย แต่การตรวจสอบติดตามผลในภายหลังรายงานว่าความคืบหน้ายังมีจำกัด

เหตุการณ์ดังกล่าวทำให้นักพัฒนา Fedora เริ่มตรวจสอบแพ็กเกจ Deepin ของตนเอง และนำไปสู่การตัดสินใจยุติแพ็กเกจในที่สุด

ปัญหาการดูแลแพ็กเกจและการสื่อสาร

นอกจากประเด็นเทคนิคแล้ว Fedora ยังพบปัญหาในเชิงกระบวนการพัฒนา

รายงานจากการตรวจสอบระบุว่า นักพัฒนาของ Fedora ติดต่อผู้ดูแลแพ็กเกจหรือทีมพัฒนาต้นน้ำได้ยาก เมื่อมีรายงานบั๊กหรือคำถามด้านความปลอดภัย

สำหรับดิสทริบิวชันลินุกซ์ที่ต้องพึ่งพาความร่วมมือกับโครงการต้นน้ำ การตอบสนองอย่างรวดเร็วเป็นสิ่งสำคัญต่อการแก้ไขช่องโหว่และดูแลความเสถียรของแพ็กเกจ

หากขาดการประสานงานและการบำรุงรักษาที่ต่อเนื่อง การปล่อยแพ็กเกจต่อไปอาจเพิ่มความเสี่ยงให้ผู้ใช้

ผู้ใช้ Deepin ยังมีทางเลือกอะไรบ้าง

แม้ Fedora และ openSUSE จะเลิกแพ็กเกจ Deepin แล้ว แต่ไม่ได้หมายความว่าเดสก์ท็อปนี้ใช้งานไม่ได้

ผู้ใช้ที่ต้องการใช้ Deepin ยังสามารถเลือกได้ เช่น

• ใช้ดิสทริบิวชันลินุกซ์ที่ยังจัดส่ง Deepin อย่างเป็นทางการ
• ติดตั้งผ่าน repository ภายนอกหรือชุมชน
• สร้างแพ็กเกจหรือคอมไพล์จากซอร์สด้วยตนเอง

อย่างไรก็ตาม วิธีเหล่านี้หมายความว่าผู้ใช้ต้องรับผิดชอบเรื่อง ความปลอดภัยและการอัปเดตด้วยตัวเองมากขึ้น เพราะทีมความปลอดภัยของดิสทริบิวชันจะไม่ได้ดูแลแพ็กเกจเหล่านั้นโดยตรง

บทเรียนสำหรับโครงการโอเพ่นซอร์ส

กรณีของ Deepin แสดงให้เห็นถึงสมดุลที่ดิสทริบิวชันลินุกซ์ต้องรักษาระหว่างประสบการณ์ผู้ใช้กับมาตรฐานด้านความปลอดภัย

แม้ Deepin จะเป็นเดสก์ท็อปที่มีชื่อเสียงเรื่องหน้าตาที่สวยงามและใช้งานง่าย แต่สำหรับดิสทริบิวชันหลักอย่าง Fedora และ openSUSE ซอฟต์แวร์ที่จะอยู่ใน repository อย่างเป็นทางการต้องผ่านมาตรฐานด้าน การตรวจสอบความปลอดภัย การดูแลแพ็กเกจ และการสนับสนุนจากโครงการต้นน้ำ อย่างต่อเนื่อง

ในกรณีนี้ ปัญหาด้านความปลอดภัย การผสานกับบริการระบบที่มีสิทธิ์สูง และการตอบสนองจากโครงการต้นน้ำที่จำกัด ทำให้สองดิสทริบิวชันหลักตัดสินใจว่า Deepin ยังไม่พร้อมสำหรับการรวมอยู่ใน repository อย่างเป็นทางการในตอนนี้