Biztonsági aggályok miatt eltávolításra került a Deepin asztali környezet az OpenSUSE fő tárolóiból

A Deepin asztali környezet, amely az azonos nevű Linux disztribúció része, esztétikus grafikus felületével, használhatóságra fókuszáló felépítésével és kínai nyelvi támogatásával vált ismertté. Bár elsősorban a saját rendszerében van jelen, más disztribúciók – köztük az openSUSE – is kínálnak az asztali környezetéhez csomagokat. Az utóbbi időszakban azonban egy súlyos szabályszegésre derült fény az openSUSE rendszerébe készült Deepin csomagolás kapcsán, amely jelentős bizalomvesztéshez vezetett a projekt részéről.

A szabályszegés: kikerülve a biztonsági felülvizsgálatot

Az openSUSE csomagolási irányelvek szerint minden olyan csomag, amely D-Bus szolgáltatásokat vagy Polkit szabályokat telepít, biztonsági felülvizsgálatot igényel. A Deepin viszont egy olyan megoldást vezetett be, amely megkerüli ezt a kötelezettséget. A 2021 óta jelen lévő deepin-feature-enable nevű csomag egy „licencszerződés” dialógust jelenít meg a felhasználóknak, amely nyíltan közli: a SUSE biztonsági csapata nem bízik meg a Deepin egyes komponenseiben, de azok használatához szükséges fájlok mégis telepítésre kerülnek, ha a felhasználó elfogadja a licencet. Ez az elfogadás elegendő ahhoz, hogy a rendszer automatikusan telepítse az elutasított D-Bus és Polkit fájlokat a rendszerkönyvtárakba, minden további ellenőrzés nélkül.

A Deepin az elmúlt években többször került adatvédelmi és nemzetbiztonsági viták középpontjába, elsősorban a kínai fejlesztői háttér és az ebből fakadó bizalmatlanság miatt. Korábban kiderült, hogy a szoftverközpont egyes verziói kapcsolatot létesítettek a CNZZ nevű kínai analitikai szolgáltatással, amit sok felhasználó adatgyűjtésként, sőt megfigyelésként értelmezett, noha a fejlesztők szerint ez csupán statisztikai célokat szolgált. Emellett a projektet azzal is kritika érte, hogy a komponensek működése nem kellően átlátható, a dokumentáció hiányos, és a biztonsági problémák kezelésében gyakran lassú vagy elmaradó a reakció. Ezek a tényezők hozzájárultak ahhoz, hogy a Deepin nem tudta elnyerni a nyílt forráskódú közösségek bizalmát.

Évek óta elhúzódó problémák

A Deepin komponensek biztonsági átvilágítása már 2017-ben elkezdődött, és azóta számos problémára derült fény. A deepin-api például root jogosultsággal futó D-Bus szolgáltatásokat tartalmazott, amelyek közül több visszaélésekre volt alkalmas, például lehetővé tette bármely felhasználónak, hogy root szintű parancsokat futtasson. A deepin-clone visszamaradt ideiglenes fájlokat hozott létre előre ismert elérési útvonalon, ami adatvesztéshez vagy visszaélésekhez vezethetett. A deepin-file-manager különösen súlyos sebezhetőségeket tartalmazott, többek közt root jogosultsággal futó mkfs hívásokat, valamint olyan D-Bus konfigurációt, amely lehetővé tette bármely felhasználónak, hogy a szolgáltatást megszemélyesítse a rendszerbuszon.

A többszöri figyelmeztetés ellenére a Deepin upstream csapat nem kezelte megfelelően a biztonsági jelentéseket. Gyakran előfordult, hogy egy részleges javítás új problémát szült, vagy a válaszadás teljesen elmaradt. Néhány komponens – mint a deepin-system-monitor vagy a dtkcommon – átment a vizsgálaton, de ezek kivételnek számítottak.

Bizalomvesztés és a csomagok eltávolítása

A felfedezett biztonsági megkerülő megoldás (deepin-feature-enable) volt az utolsó csepp a pohárban. Bár a dialógus nem rejtette el a kockázatokat a felhasználók elől, maga a csomagolási gyakorlat súlyosan megsértette az openSUSE szabályait. Az automatikusan telepített fájlokat a csomagkezelő sem látja, így eltávolításkor is a rendszeren maradhatnak. Ez nemcsak biztonsági, hanem minőségbiztosítási problémát is jelent.

Mindezek miatt az openSUSE úgy döntött, hogy a Deepin asztali környezetet teljes egészében eltávolítja a Tumbleweed kiadásból, valamint a közelgő Leap 16.0-ból. A Leap 15.6 esetében csak a problémás deepin-feature-enable csomag kerül eltávolításra. A projekt nem zárja ki a Deepin jövőbeli visszaintegrálását, de ehhez új csomagolókra, új alapokra és stabil upstream együttműködésre lenne szükség. Csak így lehet elkerülni a korábbi tapasztalatokhoz hasonló, időrabló és eredménytelen biztonsági vizsgálatokat.

Deepin továbbra is elérhető fejlesztői tárolóból

Azok, akik a fenti biztonsági aggályok ellenére szeretnék telepíteni vagy megtartani a Deepin környezetet, továbbra is megtehetik, ha manuálisan hozzáadják a Deepin fejlesztői projekt tárolóját. Ez a tároló nem esik át SUSE vagy openSUSE biztonsági vizsgálaton, így a használata csak saját felelősségre javasolt. A hozzáadáshoz a Tumbleweed rendszeren a következő parancsokat kell használni:

$ $ zypper ar https://download.opensuse.org/repositories/X11:/Deepin:/Factory/openSUSE_Tumbleweed deepin-factory

$ $ zypper ref

Az új tároló GPG kulcsa: EED7 FE07 D0FC DEF0 E5B4 D4A9 C0DA 4428 1599 EA1E, amelyet érdemes manuálisan ellenőrizni. A kulcs elfogadásával a felhasználó minden ebből a forrásból származó csomagot megbízhatónak jelöl, noha ezek nem estek át hivatalos ellenőrzésen.

Kitekintés és közösségi felhívás

Az openSUSE közösség hosszú évek munkájával próbálta Deepin komponenseit biztonságossá és karbantarthatóvá tenni. Az upstream lassú vagy hiányzó válaszai, valamint a rendszeres, súlyos biztonsági problémák azonban ellehetetlenítették a folyamatot. Az openSUSE csapata bízik abban, hogy új szemlélettel, friss csomagolókkal és szorosabb együttműködéssel talán elindulhat egy új, fenntarthatóbb szakasz a Deepin openSUSE integrációjában. Addig is minden más Linux disztribúciónak és a nyílt forráskódú biztonsággal foglalkozó közösségnek is érdemes figyelemmel kísérnie a Deepin fejlesztését és segítenie annak biztonságosabbá tételét.