Linux Mint nie jest bezpieczny, według zatrudnionego w Canonical dewelopera Ubuntu, który twierdzi, że nie zrobiłby swojej bankowości internetowej na komputerze z Linux Mint. Deweloper twierdzi, że Linux Mint „wyszukuje” ważne aktualizacje. Czy to prawdziwy problem, czy tylko podsycanie strachu?
Deweloper Ubuntu, którego to dotyczy, pomylił się w pewnych faktach i zniszczył swój przypadek, ale wciąż pozostaje prawdziwy argument do podniesienia. Ubuntu i Linux Mint radzić sobie z aktualizacjami na różne sposoby i każdy ma swoje własne kompromisy.
Zarzuty programisty Ubuntu
Oliver Grawert, programista Ubuntu zatrudniony w Canonical, rozpoczął słowną wojnę z ta wiadomość na liście mailingowej deweloperów Ubuntu. Stwierdził w nim, że aktualizacje zabezpieczeń „są jawnie hackowane z Linux Mint dla Xorg, jądra, przeglądarki Firefox, programu ładującego i różnych innych pakietów”.
Podał link do plik reguł Mint Update , stwierdzając, że jest to „lista pakietów [Mint] nigdy nie zostanie zaktualizowana”. To jest niepoprawne - plik robi coś bardziej skomplikowanego, ale zajmiemy się tym później. Kontynuował: „Powiedziałbym, że trzymanie na siłę wrażliwej przeglądarki jądra lub xorg zamiast zezwalania na instalowanie dostarczonych aktualizacji bezpieczeństwa [sic] sprawia, że jest to podatny system… Osobiście nie zrobiłbym z nim bankowości internetowej;)”.
Niektóre z tych zarzutów są całkowicie nieprawdziwe. To prawda, że Linux Mint domyślnie blokuje aktualizacje pakietów, takich jak serwer graficzny X.org, jądro Linuksa i program ładujący. Jednak te aktualizacje nie są „wykradane z Linux Mint”, jak pokażemy później. Linux Mint również nie blokuje aktualizacji przeglądarki Firefox. Aktualizacje przeglądarki Firefox są ważne dla bezpieczeństwa w świecie rzeczywistym i są domyślnie dozwolone, więc zarzuty tego programisty Ubuntu są nie na miejscu. Jednak nadal istnieje prawdziwy argument - Linux Mint domyślnie blokuje niektóre typy aktualizacji zabezpieczeń.
Linux Mint’s Response
Założyciel Linux Mint i główny programista Clement Lefebvre odpowiedział na te zarzuty post na blogu . Wskazuje w nim, że twórca Ubuntu mylił się co do zarzutów, które wyjaśniliśmy powyżej. Wyjaśnia również powód, dla którego Linux Mint domyślnie wyklucza aktualizacje dla niektórych pakietów:
„Wyjaśniliśmy w 2007 r., Jakie są niedociągnięcia w sposobie, w jaki Ubuntu zaleca swoim użytkownikom ślepe stosowanie wszystkich dostępnych aktualizacji. Wyjaśniliśmy problemy związane z regresjami i wdrożyliśmy rozwiązanie, z którego jesteśmy bardzo zadowoleni ”.
Firefox jest automatycznie aktualizowany przez Linux Mint, podobnie jak przez Ubuntu. W rzeczywistości obie dystrybucje używają tego samego pakietu, który pochodzi z tego samego repozytorium.
Głównym argumentem Linux Mint jest to, że „ślepe” aktualizowanie pakietów, takich jak serwer graficzny X.org, program ładujący i jądro Linuksa, może powodować problemy. Aktualizacje tych niskopoziomowych pakietów mogą powodować błędy w niektórych typach sprzętu, podczas gdy problemy z bezpieczeństwem, które rozwiązują, nie są w rzeczywistości problemem dla osób, które używają Linux Mint od niechcenia w domu. Na przykład wiele luk w zabezpieczeniach jądra Linuksa to luki związane z „lokalną eskalacją uprawnień”. Mogą pozwolić użytkownikom z ograniczonym dostępem do komputera zostać użytkownikiem root i uzyskać pełny dostęp, ale nie można ich łatwo wykorzystać z poziomu przeglądarki internetowej, jak typowe problem bezpieczeństwa w Javie mógłby.
Czy to rzeczywiście problem?
Obie strony mają dobre argumenty. Z jednej strony jest absolutną prawdą, że Linux Mint domyślnie wyłącza aktualizacje zabezpieczeń dla niektórych pakietów. Pozostawia to system Mint z bardziej znanymi lukami w zabezpieczeniach, które teoretycznie mogłyby zostać wykorzystane.
Z drugiej strony prawdą jest, że te luki w zabezpieczeniach nie są aktywnie wykorzystywane. Linux Mint aktualizuje oprogramowanie, które jest faktycznie atakowane, np. Przeglądarki internetowe. Prawdą jest również, że aktualizacje X.org powodowały w przeszłości problemy. W 2006 roku aktualizacja Ubuntu zepsuła serwer X wielu użytkowników Ubuntu, którzy go zainstalowali, zmuszając ich do korzystania z terminala Linux. Użytkownicy, których dotyczy problem, musieli naprawiać swoje systemy z poziomu terminala. Zasady Linux Mint dotyczące aktualizacji zostały określone zaledwie rok później w 2007 roku, więc prawdopodobnie ten odcinek wpłynął na obecne stanowisko Linux Mint.
Jeśli jesteś użytkownikiem domowego komputera stacjonarnego, prawdopodobnie nie zostaniesz zagrożony z powodu luki w jądrze Linuksa. Oczywiście, jeśli uruchamiasz serwer, który jest wystawiony na działanie Internetu lub obsługujesz firmową stację roboczą, do której chcesz ograniczyć dostęp, upewnij się, że zostały zainstalowane wszystkie możliwe aktualizacje zabezpieczeń.
Kontrolowanie aktualizacji zabezpieczeń w Linux Mint
Każdy użytkownik Linux Mint, który wolałby mieć wszystkie aktualizacje zabezpieczeń, które otrzymują użytkownicy Ubuntu, może je włączyć z poziomu Menedżera aktualizacji Mint. Te aktualizacje nie są „hakowane”, ale są domyślnie wyłączone.
Aby kontrolować to ustawienie, otwórz aplikację Update Manager z menu swojego środowiska graficznego. Kliknij menu Edycja i wybierz Preferencje. Będziesz wtedy mógł wybrać „poziomy” pakietów, które chcesz zainstalować. „Poziomy” są zdefiniowane w pliku reguł aktualizacji Mint, o którym wspominaliśmy wcześniej. Poziomy 1-3 są domyślnie włączone, natomiast poziomy 4-5 są domyślnie wyłączone. Firefox to pakiet poziomu 2, który jest domyślnie aktualizowany. X.org i jądro Linuksa mają odpowiednio poziomy 4 i 5, więc nie są aktualizowane domyślnie.
Włącz poziomy 4 i 5, a otrzymasz te same aktualizacje, co w Ubuntu - pochodzące z własnych repozytoriów aktualizacji Ubuntu - ale będziesz bardziej narażony na „regresje”, które wprowadzają problemy.
Prawdziwa różnica zdań ma tutaj charakter filozoficzny. Ubuntu popełnia błędy po stronie domyślnej aktualizacji wszystkiego, eliminując wszystkie możliwe luki w zabezpieczeniach - nawet te, które prawdopodobnie nie zostaną wykorzystane w systemach użytkowników domowych. Linux Mint popełnia błędy po stronie wykluczania aktualizacji, które mogą potencjalnie powodować problemy.
To, które rozwiązanie wolisz, sprowadza się do tego, do czego używasz komputera i jak dobrze radzisz sobie z zagrożeniami.
