Os desenvolvedores do Ubuntu dizem que o Linux Mint é inseguro. Eles estão certos?

O Linux Mint é inseguro, de acordo com um desenvolvedor do Ubuntu, que trabalha com a Canonical e diz que não faria seus serviços bancários on-line em um PC Linux Mint. O desenvolvedor alega que o Linux Mint "hackeia" atualizações importantes. Isso é um problema real ou apenas de medo??

O desenvolvedor do Ubuntu envolvido errou certos fatos e danificou seu próprio caso, mas ainda há um argumento real a ser discutido aqui. O Ubuntu e o Linux Mint lidam com atualizações de diferentes maneiras, e cada um tem seus próprios trade-offs.

As alegações de um desenvolvedor do Ubuntu

Oliver Grawert, um desenvolvedor Ubuntu canônico, iniciou a guerra verbal com esta mensagem na lista de discussão dos desenvolvedores do Ubuntu. Nele, ele afirmou que as atualizações de segurança “são explicitamente cortadas do Linux Mint para Xorg, o kernel, o Firefox, o gerenciador de inicialização e vários outros pacotes”.

Ele forneceu um link para o arquivo de regras Mint Update, afirmando que “é uma lista de pacotes que [Mint] nunca atualizará”. Isso é incorreto - o arquivo faz algo mais complicado do que isso, mas falaremos mais tarde. Ele continuou: "Eu diria que manter um navegador de kernel vulnerável ou xorg em vigor ao invés de permitir que as atualizações de segurança fornecidas sejam instalador [sic] torna um sistema vulnerável ... eu pessoalmente não faria transações bancárias online com ele;)".

Algumas dessas alegações são completamente falsas. É verdade que o Linux Mint bloqueia atualizações para pacotes como o servidor gráfico X.org, o kernel do Linux e o bootloader por padrão. No entanto, essas atualizações não são "cortadas do Linux Mint", como mostraremos mais adiante. O Linux Mint também não bloqueia atualizações para o Firefox. Atualizações para o navegador Firefox são importantes para a segurança do mundo real e são permitidas por padrão, então as alegações do desenvolvedor do Ubuntu estão fora de foco. No entanto, ainda há um argumento real aqui - o Linux Mint bloqueia certos tipos de atualizações de segurança por padrão.

Resposta do Linux Mint

O fundador e líder do Linux Mint, Clement Lefebvre, respondeu a essas acusações com um post no blog. Nele, ele aponta que o desenvolvedor do Ubuntu estava incorreto sobre as alegações que explicamos acima. Ele também esclarece o motivo do Linux Mint para excluir atualizações de certos pacotes por padrão:

“Nós explicamos em 2007 quais eram as deficiências do modo como o Ubuntu recomenda que seus usuários aplicassem cegamente todas as atualizações disponíveis. Explicamos os problemas associados às regressões e implementamos uma solução com a qual estamos muito felizes. ”

O Firefox é atualizado automaticamente pelo Linux Mint, assim como o Ubuntu. De fato, ambas as distribuições usam o mesmo pacote que vem do mesmo repositório.

O principal argumento do Linux Mint é que a atualização “cega” de pacotes como o servidor gráfico do X.org, o bootloader e o kernel do Linux podem causar problemas. Atualizações para esses pacotes de baixo nível podem introduzir erros em alguns tipos de hardware, enquanto os problemas de segurança que eles resolvem não são realmente um problema para as pessoas que usam o Linux Mint casualmente em casa. Por exemplo, muitas falhas de segurança no kernel do Linux são vulnerabilidades de “escalonamento de privilégios locais”. Eles podem permitir que usuários com acesso limitado ao computador se tornem usuários root e obtenham acesso completo, mas não podem ser facilmente explorados a partir de um navegador da Web, como um problema típico de segurança em Java..

Isto é realmente um problema?

Ambos os lados têm bons argumentos. Por um lado, é absolutamente verdade que o Linux Mint está desabilitando as atualizações de segurança para certos pacotes por padrão. Isso deixa um sistema Mint com mais vulnerabilidades de segurança conhecidas, que teoricamente poderiam ser exploradas.

Por outro lado, é verdade que essas vulnerabilidades de segurança não são ativamente exploradas. O Linux Mint atualiza softwares que estão sob ataque real, como navegadores da web. Também é verdade que as atualizações no X.org causaram problemas no passado. Em 2006, uma atualização do Ubuntu quebrou o servidor X de muitos usuários do Ubuntu que o instalaram, forçando-os a entrar no terminal Linux. Os usuários afetados tiveram que reparar seus sistemas no terminal. A política do Linux Mint sobre atualizações foi explicitada apenas um ano depois, em 2007, então é provável que este episódio tenha afetado a postura atual do Linux Mint.

Se você é um usuário doméstico de desktop, provavelmente não será comprometido por causa de uma falha no kernel do Linux. É claro que, se você executar um servidor exposto à Internet ou operar uma estação de trabalho corporativa à qual deseja restringir o acesso, deverá garantir que todas as atualizações de segurança possíveis sejam instaladas..

Controlando as atualizações de segurança no Linux Mint

Qualquer usuário do Linux Mint que prefira ter todas as atualizações de segurança que os usuários do Ubuntu recebem, pode habilitá-los a partir do Update Manager do Mint. Essas atualizações não são "desativadas", mas são desativadas por padrão.

Para controlar essa configuração, abra o aplicativo Update Manager no menu do seu ambiente de área de trabalho. Clique no menu Editar e selecione Preferências. Você poderá então escolher os “níveis” de pacotes que deseja instalar. "Níveis" são definidos no arquivo de regras de atualização do Mint que mencionamos anteriormente. Os níveis 1 a 3 são ativados por padrão, enquanto os níveis 4 a 5 são desativados por padrão. O Firefox é um pacote de nível 2, que é atualizado por padrão. O X.org e o kernel do Linux são os níveis 4 e 5, respectivamente, então eles não são atualizados por padrão.

Habilite os níveis 4 e 5 e você obterá as mesmas atualizações que você faria no Ubuntu - vindo dos próprios repositórios de atualização do Ubuntu - mas você correrá mais risco de “regressões” que introduzem problemas.

O verdadeiro desacordo aqui é filosófico. O Ubuntu erra por atualizar tudo por padrão, eliminando todas as possíveis vulnerabilidades de segurança - mesmo aquelas que provavelmente não serão exploradas em sistemas de usuários domésticos. Linux Mint erra ao lado de excluir atualizações que poderiam causar problemas.

Qual solução você prefere vai descer para o que você está usando o seu computador e como você está confortável com os riscos.