Linux Mint небезопасен, по словам разработчика Ubuntu, работающего в Canonical, который заявляет, что не будет делать свои онлайн-банкинг на ПК с Linux Mint. Разработчик утверждает, что Linux Mint «взламывает» важные обновления. Это реальная проблема или просто разжигание страха?
Участвовавший в этом разработчик Ubuntu ошибся в некоторых фактах и навредил своему собственному делу, но здесь все же есть реальный аргумент. Ubuntu и Linux Mint справляться с обновлениями по-разному, и у каждого есть свои компромиссы.
Утверждения разработчика Ubuntu
Оливер Граверт, разработчик Ubuntu, работающий в Canonical, начал словесную войну с это сообщение в списке рассылки разработчиков Ubuntu. В нем он заявил, что обновления безопасности «явно взломаны из Linux Mint для Xorg, ядра, Firefox, загрузчика и различных других пакетов».
Он дал ссылку на файл правил Mint Update , заявив, что это «список пакетов, которые [Mint] никогда не обновят». Это неверно - файл выполняет что-то более сложное, но мы вернемся к этому позже. Он продолжил: «Я бы сказал, что принудительное сохранение уязвимого браузера ядра или xorg на месте вместо того, чтобы разрешить установку предоставленных обновлений безопасности [sic], делает его уязвимой системой… Лично я бы не стал использовать его для онлайн-банкинга;)».
Некоторые из этих утверждений полностью не соответствуют действительности. Верно, что Linux Mint по умолчанию блокирует обновления для таких пакетов, как графический сервер X.org, ядро Linux и загрузчик. Однако эти обновления не «взломаны из Linux Mint», как мы покажем позже. Linux Mint также не блокирует обновления Firefox. Обновления веб-браузера Firefox важны для реальной безопасности и разрешены по умолчанию, поэтому утверждения этого разработчика Ubuntu неуместны. Тем не менее, здесь есть веский аргумент - Linux Mint по умолчанию блокирует определенные типы обновлений безопасности.
Ответ Linux Mint
Основатель и ведущий разработчик Linux Mint Клемент Лефевр ответил на эти обвинения следующим образом: сообщение в блоге . В нем он указывает, что разработчик Ubuntu ошибался в утверждениях, которые мы объяснили выше. Он также разъясняет причину, по которой Linux Mint по умолчанию исключает обновления для определенных пакетов:
«В 2007 году мы объяснили, какие недостатки были в том, как Ubuntu рекомендует своим пользователям вслепую применять все доступные обновления. Мы объяснили проблемы, связанные с регрессией, и реализовали решение, которым очень довольны ».
Firefox автоматически обновляется Linux Mint, как и Ubuntu. Фактически, оба дистрибутива используют один и тот же пакет из одного и того же репозитория.
Основной аргумент Linux Mint заключается в том, что «слепое» обновление пакетов, таких как графический сервер X.org, загрузчик и ядро Linux, может вызвать проблемы. Обновления этих низкоуровневых пакетов могут привести к появлению ошибок на некоторых типах оборудования, в то время как проблемы безопасности, которые они решают, на самом деле не являются проблемой для людей, которые используют Linux Mint в домашних условиях. Например, многие недостатки безопасности в ядре Linux представляют собой уязвимости «локального повышения привилегий». Они могут позволить пользователям с ограниченным доступом к компьютеру стать пользователем root и получить полный доступ, но их нелегко использовать в веб-браузере, как обычный проблема безопасности в Java мог.
Это действительно проблема?
У обеих сторон есть веские аргументы. С одной стороны, абсолютно верно, что Linux Mint по умолчанию отключает обновления безопасности для определенных пакетов. Это оставляет систему Mint с более известными уязвимостями безопасности, которые теоретически могут быть использованы.
С другой стороны, это правда, что эти уязвимости в системе безопасности не используются активно. Linux Mint действительно обновляет программное обеспечение, которое подвергается реальным атакам, например веб-браузеры. Верно и то, что обновления X.org вызывали проблемы в прошлом. В 2006 году обновление Ubuntu сломало X-сервер многих пользователей Ubuntu, которые его установили, заставив их подключиться к терминалу Linux. Пострадавшим пользователям пришлось ремонтировать свои системы с помощью терминала. Политика Linux Mint в отношении обновлений была изложена всего год спустя, в 2007 году, поэтому, вероятно, этот эпизод повлиял на текущую позицию Linux Mint.
Если вы пользуетесь домашним настольным компьютером, вас, вероятно, не скомпрометирует из-за недостатка в ядре Linux. Конечно, если вы используете сервер, подключенный к Интернету, или рабочую станцию, доступ к которой вы хотите ограничить, вам следует убедиться, что установлены все возможные обновления безопасности.
Управление обновлениями безопасности в Linux Mint
Любой пользователь Linux Mint, который предпочитает получать все обновления безопасности, которые получают пользователи Ubuntu, может включить их из Менеджера обновлений Mint. Эти обновления не «взломаны», а просто отключены по умолчанию.
Чтобы управлять этим параметром, откройте приложение Update Manager из меню среды рабочего стола. Щелкните меню «Правка» и выберите «Настройки». После этого вы сможете выбрать «уровни» пакетов, которые хотите установить. «Уровни» определены в упомянутом ранее файле правил обновления Mint. Уровни 1-3 включены по умолчанию, а уровни 4-5 отключены по умолчанию. Firefox - это пакет уровня 2, который обновляется по умолчанию. X.org и ядро Linux имеют уровни 4 и 5 соответственно, поэтому по умолчанию они не обновляются.
Включите уровни 4 и 5, и вы получите те же обновления, что и в Ubuntu, - из собственных репозиториев обновлений Ubuntu, - но вы будете больше подвержены риску «регрессов», которые приведут к проблемам.
Настоящее разногласие здесь - философское. Ubuntu ошибается в том, что обновляет все по умолчанию, устраняя все возможные уязвимости безопасности - даже те, которые вряд ли будут использоваться в домашних пользовательских системах. Linux Mint ошибается, исключая обновления, которые потенциально могут вызвать проблемы.
Какое решение вы предпочтете, будет зависеть от того, для чего вы используете свой компьютер, и от того, насколько комфортно вы справляетесь с рисками.
