Ubuntu-Entwickler sagen, Linux Mint sei unsicher. Haben sie Recht?

Linux Mint ist unsicher, sagt ein bei Canonical beschäftigter Ubuntu-Entwickler, der sagt, dass er sein Online-Banking nicht auf einem Linux-Mint-PC machen würde. Der Entwickler behauptet, dass Linux Mint wichtige Updates „heraushackt“. Ist das ein echtes Problem oder nur Angstmacherei?

Der beteiligte Ubuntu-Entwickler hat gewisse Tatsachen falsch verstanden und seinen eigenen Fall beschädigt, aber hier gibt es immer noch einen echten Streit. Ubuntu und Linux Mint gehen auf unterschiedliche Weise mit Updates um, und jedes hat seine eigenen Kompromisse.

Vorwürfe eines Ubuntu-Entwicklers

Oliver Grawert, ein bei Canonical angestellter Ubuntu-Entwickler, begann den verbalen Krieg mit diese Nachricht auf der Mailingliste für Ubuntu-Entwickler. Darin erklärte er, dass Sicherheitsupdates „für Xorg, den Kernel, Firefox, den Bootloader und diverse andere Pakete explizit aus Linux Mint gehackt werden“.

Er hat einen Link zu bereitgestellt die Mint Update-Regeldatei, die besagt, dass es sich um eine Liste von Paketen handelt [Mint] wird nie aktualisiert.“ Das ist falsch – die Datei macht etwas Komplizierteres, aber darauf gehen wir später ein. Er fuhr fort: „Ich würde sagen, einen anfälligen Kernel-Browser oder xorg gewaltsam an Ort und Stelle zu halten, anstatt zuzulassen, dass die bereitgestellten Sicherheitsupdates Installer sind.“ [sic] macht es zu einem verwundbaren System… Ich persönlich würde damit kein Online-Banking machen ;)“.

Einige dieser Behauptungen sind völlig falsch. Es stimmt, dass Linux Mint standardmäßig Updates für Pakete wie den grafischen X.org-Server, den Linux-Kernel und den Bootloader blockiert. Diese Updates werden jedoch nicht „aus Linux Mint gehackt“, wie wir später zeigen werden. Linux Mint blockiert auch keine Updates für Firefox. Updates des Firefox-Webbrowsers sind für die Sicherheit in der realen Welt wichtig und standardmäßig erlaubt, daher sind die Anschuldigungen dieses Ubuntu-Entwicklers fehl am Platz. Hier gibt es jedoch immer noch ein echtes Argument – ​​Linux Mint blockiert standardmäßig bestimmte Arten von Sicherheitsupdates.

Antwort von Linux Mint

Clement Lefebvre, Gründer und leitender Entwickler von Linux Mint, reagierte auf diese Anschuldigungen mit ein Blogbeitrag. Darin weist er darauf hin, dass der Ubuntu-Entwickler mit den oben erläuterten Vorwürfen falsch lag. Er erläutert auch den Grund von Linux Mint, Updates für bestimmte Pakete standardmäßig auszuschließen:

„Wir haben 2007 erklärt, was die Mängel in der Art und Weise waren, wie Ubuntu seinen Benutzern empfiehlt, alle verfügbaren Updates blind anzuwenden. Wir haben die mit Regressionen verbundenen Probleme erklärt und eine Lösung implementiert, mit der wir sehr zufrieden sind.“

Firefox wird von Linux Mint automatisch aktualisiert, genau wie von Ubuntu. Tatsächlich verwenden beide Distributionen dasselbe Paket, das aus demselben Repository stammt.

Das Hauptargument von Linux Mint ist, dass das „blinde“ Aktualisieren von Paketen wie dem grafischen X.org-Server, dem Bootloader und dem Linux-Kernel Probleme verursachen kann. Updates dieser Low-Level-Pakete können bei einigen Arten von Hardware zu Fehlern führen, während die von ihnen gelösten Sicherheitsprobleme eigentlich kein Problem für Leute sind, die Linux Mint gelegentlich zu Hause verwenden. Viele Sicherheitslücken im Linux-Kernel sind beispielsweise Schwachstellen durch „lokale Rechteausweitung“. Sie können Benutzern mit eingeschränktem Zugriff auf den Computer ermöglichen, Root-Benutzer zu werden und vollständigen Zugriff zu erhalten, aber sie können nicht so einfach von einem Webbrowser ausgenutzt werden, wie es ein typisches Sicherheitsproblem in Java könnte.

Ist das tatsächlich ein Problem?

Beide Seiten haben gute Argumente. Einerseits ist es absolut richtig, dass Linux Mint Sicherheitsupdates für bestimmte Pakete standardmäßig deaktiviert. Dies hinterlässt ein Mint-System mit bekannteren Sicherheitslücken, die theoretisch ausgenutzt werden könnten.

Andererseits stimmt es, dass diese Sicherheitslücken nicht aktiv ausgenutzt werden. Linux Mint aktualisiert Software, die tatsächlich angegriffen wird, wie Webbrowser. Es stimmt auch, dass Updates von X.org in der Vergangenheit zu Problemen geführt haben. Im Jahr 2006 brach ein Ubuntu-Update den X-Server vieler Ubuntu-Benutzer, die es installierten, und zwang sie in das Linux-Terminal. Betroffene Benutzer mussten ihre Systeme vom Terminal aus reparieren. Die Richtlinien von Linux Mint zu Updates wurden nur ein Jahr später, im Jahr 2007, formuliert, daher ist es wahrscheinlich, dass diese Episode die aktuelle Haltung von Linux Mint beeinflusst hat.

Wenn Sie ein Heim-Desktop-Benutzer sind, werden Sie wahrscheinlich nicht aufgrund eines Fehlers im Linux-Kernel kompromittiert. Wenn Sie einen Server betreiben, der dem Internet ausgesetzt ist, oder eine geschäftliche Workstation betreiben, auf die Sie den Zugriff beschränken möchten, sollten Sie natürlich sicherstellen, dass alle möglichen Sicherheitsupdates installiert sind.

Steuern von Sicherheitsupdates in Linux Mint

Jeder Linux Mint-Benutzer, der lieber alle Sicherheitsupdates haben möchte, die Ubuntu-Benutzer erhalten, kann sie im Update Manager von Mint aktivieren. Diese Updates werden nicht „ausgehackt“, sondern sind standardmäßig nur deaktiviert.

Um diese Einstellung zu steuern, öffnen Sie die Update Manager-Anwendung über das Menü Ihrer Desktop-Umgebung. Klicken Sie auf das Menü Bearbeiten und wählen Sie Einstellungen. Sie können dann die „Stufen“ der Pakete auswählen, die Sie installieren möchten. „Stufen“ sind in der zuvor erwähnten Mint-Aktualisierungsregeldatei definiert. Die Stufen 1-3 sind standardmäßig aktiviert, während die Stufen 4-5 standardmäßig deaktiviert sind. Firefox ist ein Level-2-Paket, das standardmäßig aktualisiert wird. X.org und der Linux-Kernel sind Level 4 bzw. 5, also werden sie nicht standardmäßig aktualisiert.

Aktivieren Sie die Stufen 4 und 5 und Sie erhalten dieselben Updates wie in Ubuntu – aus Ubuntus eigenen Update-Repositorys –, aber Sie sind stärker gefährdet, „Rückschritte“ zu verursachen, die zu Problemen führen.

Die wirkliche Meinungsverschiedenheit hier ist eine philosophische. Ubuntu irrt sich, indem es standardmäßig alles aktualisiert und alle möglichen Sicherheitslücken beseitigt – selbst solche, die auf Heimanwendersystemen wahrscheinlich nicht ausgenutzt werden können. Linux Mint irrt beim Ausschluss von Updates, die potenziell Probleme verursachen könnten.

Welche Lösung Sie bevorzugen, hängt davon ab, wofür Sie Ihren Computer verwenden und wie sicher Sie mit den Risiken sind.