Các phần mềm tích hợp sâu với hai cơ chế này có thể chạm đến ranh giới quyền hệ thống. Nếu thiết kế hoặc kiểm soát quyền không đủ chặt chẽ, lỗi phần mềm có thể dẫn đến truy cập trái phép vào chức năng hệ thống nhạy cảm.
Trong hệ sinh thái Linux rộng hơn, một số cuộc đánh giá đã nêu vấn đề về cách các module Deepin xử lý các giao diện này. Ví dụ, các phân tích cho thấy những điểm yếu trong các thành phần tương tác với D‑Bus hoặc dịch vụ hệ thống có thể gây ảnh hưởng lớn hơn nhiều so với lỗi ứng dụng thông thường.
Vì các thành phần này hoạt động gần với quyền hệ thống, những vấn đề chưa được giải quyết được xem là rủi ro cao đối với phần mềm nằm trong repository chính thức.
Quyết định của Fedora cũng không diễn ra trong “chân không”. Một năm trước đó, openSUSE đã loại bỏ Deepin khỏi kho phần mềm của mình sau khi đội bảo mật phát hiện nhiều vấn đề nghiêm trọng.
Trong quá trình điều tra, openSUSE phát hiện:
Các chuyên gia bảo mật của SUSE xem việc bỏ qua quy trình đánh giá này là vi phạm chính sách nghiêm trọng và nằm trong chuỗi vấn đề bảo mật đã được phát hiện trong quá trình kiểm tra mã nguồn Deepin.
Sau khi gỡ bỏ, openSUSE cho biết họ sẵn sàng xem xét lại nếu upstream cải thiện các thành phần và gửi lại để đánh giá. Tuy nhiên, các lần đánh giá tiếp theo cho thấy tiến triển còn hạn chế nên quyết định gỡ bỏ vẫn được giữ nguyên.
Những phát hiện của openSUSE sau đó cũng khiến các nhà phát triển Fedora kiểm tra lại các gói Deepin của mình — và cuối cùng dẫn đến cuộc bỏ phiếu retire.
Ngoài khía cạnh kỹ thuật, Fedora còn gặp vấn đề thực tế trong việc bảo trì.
Theo báo cáo trong quá trình đánh giá, các nhà phát triển Fedora gặp khó khăn khi liên hệ với maintainers hoặc nhóm upstream về bug và vấn đề bảo mật. Đối với các bản phân phối Linux dựa nhiều vào cộng đồng, phản hồi nhanh và phối hợp với upstream là yếu tố quan trọng để vá lỗi và đảm bảo an toàn.
Khi sự phối hợp này thiếu ổn định, việc giữ các gói phần mềm trong repository chính thức trở nên rủi ro hơn.
Việc Fedora và openSUSE loại bỏ Deepin không đồng nghĩa Deepin không thể sử dụng được. Nó chỉ có nghĩa là môi trường desktop này không còn được hai bản phân phối này hỗ trợ chính thức.
Người dùng vẫn có một số lựa chọn:
Tuy nhiên, khi phần mềm không còn nằm trong repository chính thức, người dùng sẽ phải tự chịu nhiều trách nhiệm hơn về cập nhật và bảo mật.
Trường hợp của Deepin cho thấy cách các bản phân phối Linux cân bằng giữa trải nghiệm người dùng và yêu cầu bảo mật. Một desktop environment có giao diện đẹp và phổ biến vẫn phải đáp ứng các tiêu chuẩn nghiêm ngặt về:
Trong trường hợp này, các vấn đề bảo mật chưa được giải quyết, việc tích hợp sâu với thành phần hệ thống có đặc quyền và sự thiếu phản hồi từ upstream đã khiến hai bản phân phối lớn — openSUSE và Fedora — quyết định rằng Deepin hiện chưa đáp ứng tiêu chuẩn cho repository chính thức.
Comments
0 comments