Linux Mint er usikker, ifølge en Canonical-ansat Ubuntu-udvikler, der siger, at han ikke ville gøre sin onlinebank på en Linux Mint-pc. Udvikleren hævder, at Linux Mint "hacker ud" vigtige opdateringer. Er dette et reelt problem eller bare frygtsomhed?
Den involverede Ubuntu-udvikler har fået visse fakta forkert og beskadiget sin egen sag, men der er stadig et reelt argument at have her. Ubuntu og Linux Mint håndtere opdateringer på forskellige måder, og hver har sine egne afvejninger.
En Ubuntu-udviklers påstande
Oliver Grawert, en Canon-ansat Ubuntu-udvikler, startede den verbale krigsførelse med denne besked på Ubuntu-udviklerens postliste. I det erklærede han, at sikkerhedsopdateringer “er hacket eksplicit fra Linux Mint til Xorg, kernen, Firefox, bootloader og forskellige andre pakker”.
Han gav et link til Mint Update-regler-filen med angivelse af, at det “er en liste over pakker, som [Mint] aldrig opdateres.” Dette er forkert - filen gør noget mere kompliceret end det, men vi går nærmere ind på det senere. Han fortsatte: "Jeg vil sige med kraft at holde en sårbar kernelowser eller xorg på plads i stedet for at lade de medfølgende sikkerhedsopdateringer være installationsprogrammet [sic] gør det til et sårbart system ... Jeg personligt ville ikke foretage onlinebank med det;)".
Nogle af disse påstande er helt usande. Det er rigtigt, at Linux Mint blokerer opdateringer til pakker som X.org grafisk server, Linux-kerne og bootloader som standard. Disse opdateringer er imidlertid ikke "hacket ud af Linux Mint", som vi viser senere. Linux Mint blokerer heller ikke opdateringer til Firefox. Opdateringer til Firefox-webbrowseren er vigtige for den virkelige sikkerhed og er tilladt som standard, så denne Ubuntu-udviklers påstande er off-point. Der er dog stadig et reelt argument her - Linux Mint blokerer som standard visse typer sikkerhedsopdateringer.
Linux Mint's svar
Linux Mint-grundlægger og hovedudvikler Clement Lefebvre svarede på disse beskyldninger med et blogindlæg . I det påpeger han, at Ubuntu-udvikleren var forkert med de beskyldninger, vi forklarede ovenfor. Han præciserer også Linux Mint's grund til at udelukke opdateringer til bestemte pakker som standard:
”Vi forklarede i 2007, hvad manglerne var med den måde, hvorpå Ubuntu anbefaler deres brugere at blindt anvende alle tilgængelige opdateringer. Vi forklarede problemerne i forbindelse med regressioner, og vi implementerede en løsning, vi er meget tilfredse med. ”
Firefox opdateres automatisk af Linux Mint, ligesom det er af Ubuntu. Faktisk bruger begge distributioner den samme pakke, der kommer fra det samme arkiv.
Linux Mint's primære argument er, at "blindt" opdatering af pakker som X.org grafisk server, bootloader og Linux-kerne kan forårsage problemer. Opdateringer til disse pakker på lavt niveau kan introducere fejl på nogle typer hardware, mens de sikkerhedsproblemer, de løser, faktisk ikke er et problem for folk, der bruger Linux Mint tilfældigt derhjemme. For eksempel er mange sikkerhedsmangler i Linux-kernen sårbarheder med "lokal eskalering af privilegier". De tillader muligvis brugere med begrænset adgang til computeren at blive rodbruger og få fuld adgang, men de kan ikke let udnyttes fra en webbrowser som en typisk sikkerhedsproblem i Java kunne.
Er dette faktisk et problem?
Begge sider har gode argumenter. På den ene side er det helt sandt, at Linux Mint som standard deaktiverer sikkerhedsopdateringer for visse pakker. Dette efterlader et myntesystem med mere kendte sikkerhedssårbarheder, som teoretisk kunne udnyttes.
På den anden side er det rigtigt, at disse sikkerhedssårbarheder ikke udnyttes aktivt. Linux Mint opdaterer software, der er under faktisk angreb, som webbrowsere. Det er også rigtigt, at opdateringer til X.org har skabt problemer tidligere. I 2006 brød en Ubuntu-opdatering X-serveren fra mange Ubuntu-brugere, der installerede den, og tvang dem ind i Linux-terminalen. Berørte brugere måtte reparere deres systemer fra terminalen. Linux Mint's politik for opdateringer blev beskrevet et år senere i 2007, så det er sandsynligt, at denne episode har påvirket Linux Mint's nuværende holdning.
Hvis du er en desktop-hjemmebruger, bliver du sandsynligvis ikke kompromitteret på grund af en fejl i Linux-kernen. Hvis du kører en server, der er udsat for Internettet eller driver en forretningsarbejdsstation, du vil begrænse adgangen til, skal du selvfølgelig sørge for, at alle mulige sikkerhedsopdateringer er installeret.
Kontrol af sikkerhedsopdateringer i Linux Mint
Enhver Linux Mint-bruger, der hellere vil have alle de sikkerhedsopdateringer, som Ubuntu-brugere får, kan aktivere dem fra Mint's Update Manager. Disse opdateringer er ikke "hacket ud", men er bare deaktiveret som standard.
For at kontrollere denne indstilling skal du åbne Update Manager-applikationen fra menuen på dit skrivebordsmiljø. Klik på menuen Rediger, og vælg Indstillinger. Du kan derefter vælge de "niveauer" af pakker, du vil installere. "Niveauer" er defineret i den Mint-opdateringsregelfil, vi nævnte tidligere. Niveau 1-3 er aktiveret som standard, mens niveau 4-5 er deaktiveret som standard. Firefox er en niveau 2-pakke, der opdateres som standard. X.org og Linux-kernen er henholdsvis niveau 4 og 5, så de opdateres ikke som standard.
Aktivér niveau 4 og 5, og du får de samme opdateringer, som du ville have i Ubuntu - kommer fra Ubuntus egne opdateringsopbevaringssteder - men du vil være mere udsat for "regressioner", der introducerer problemer.
Den virkelige uenighed her er filosofisk. Ubuntu fejler ved siden af at opdatere alt som standard og eliminere alle mulige sikkerhedssårbarheder - selv dem, der sandsynligvis ikke udnyttes på hjemmebrugersystemer. Linux Mint fejler ved siden af at udelukke opdateringer, der potentielt kan forårsage problemer.
Hvilken løsning, du foretrækker, vil komme ned til, hvad du bruger din computer til, og hvor behagelig du er med risiciene.
