Ubuntu-Entwickler sagen, Linux Mint sei unsicher. Haben sie recht

Linux Mint ist nach Angaben eines Ubuntu-Entwicklers, der bei Canonical angestellt ist, unsicher, der sagt, er würde sein Online-Banking nicht auf einem Linux Mint-PC tätigen. Der Entwickler behauptet, dass Linux Mint wichtige Updates "hackt". Ist das ein echtes Problem oder nur Angstmache?

Der involvierte Ubuntu-Entwickler hat bestimmte Tatsachen falsch verstanden und seinen eigenen Fall beschädigt, aber hier gibt es immer noch ein echtes Argument. Ubuntu und Linux Mint behandeln Updates auf unterschiedliche Art und Weise, und jeder hat seine eigenen Kompromisse.

Die Vorwürfe eines Ubuntu-Entwicklers

Oliver Grawert, ein bei Canonical beschäftigter Ubuntu-Entwickler, begann die verbale Kriegsführung mit dieser Nachricht auf der Ubuntu-Entwickler-Mailingliste. Darin erklärte er, dass Sicherheitsupdates "explizit aus Linux Mint für Xorg, den Kernel, Firefox, den Bootloader und verschiedene andere Pakete gehackt werden"..

Er stellte einen Link zu der Mint Update-Regeldatei zur Verfügung, der besagt, dass es sich um eine Liste von Paketen handelt [Mint], die niemals aktualisiert wird. “Dies ist falsch - die Datei macht etwas komplizierteres, aber wir werden später darauf eingehen. Er fuhr fort: "Ich würde sagen, dass ein verwundbarer Kernel-Browser oder ein Xorg zwangsweise an Ort und Stelle bleibt, anstatt zuzulassen, dass die bereitgestellten Sicherheitsupdates Installer [sic] sind. Dadurch wird es zu einem verwundbaren System..

Einige dieser Behauptungen sind völlig falsch. Es stimmt, dass Linux Mint standardmäßig Updates für Pakete wie den X.org-Grafikserver, den Linux-Kernel und den Bootloader blockiert. Diese Updates werden jedoch nicht "aus Linux Mint gehackt", wie wir später zeigen werden. Linux Mint blockiert auch keine Updates für Firefox. Updates für den Firefox-Webbrowser sind wichtig für die Sicherheit in der realen Welt und sind standardmäßig zulässig. Daher sind die Vorwürfe dieses Ubuntu-Entwicklers falsch. Hier gibt es jedoch immer noch ein echtes Argument: Linux Mint blockiert standardmäßig bestimmte Arten von Sicherheitsupdates.

Antwort von Linux Mint

Der Gründer und leitende Entwickler von Linux Mint, Clement Lefebvre, reagierte auf diese Anschuldigungen mit einem Blogbeitrag. Darin weist er darauf hin, dass der Ubuntu-Entwickler bezüglich der oben erläuterten Behauptungen falsch war. Er erläutert auch den Grund von Linux Mint, um Updates für bestimmte Pakete standardmäßig auszuschließen:

„Wir haben 2007 erklärt, welche Mängel die Art und Weise hatte, wie Ubuntu seinen Benutzern empfiehlt, alle verfügbaren Updates blind anzuwenden. Wir haben die mit Regressionen verbundenen Probleme erläutert und eine Lösung implementiert, mit der wir sehr zufrieden sind. “

Firefox wird von Linux Mint ebenso wie von Ubuntu automatisch aktualisiert. Tatsächlich verwenden beide Distributionen dasselbe Paket, das aus demselben Repository stammt.

Das Hauptargument von Linux Mint ist, dass das "blinde" Aktualisieren von Paketen wie dem X.org-Grafikserver, dem Bootloader und dem Linux-Kernel Probleme verursachen kann. Aktualisierungen dieser Low-Level-Pakete können zu Fehlern bei einigen Hardwaretypen führen, während die Sicherheitsprobleme, die sie lösen, kein Problem für Benutzer sind, die Linux Mint gelegentlich zu Hause verwenden. Zum Beispiel sind viele Sicherheitslücken im Linux-Kernel "lokale Privilegieneskalationen". Möglicherweise können Benutzer mit eingeschränktem Zugriff auf den Computer Root-Benutzer werden und vollständigen Zugriff erhalten. Sie können jedoch nicht einfach von einem Webbrowser aus genutzt werden, wie dies bei einem typischen Sicherheitsproblem in Java der Fall ist.

Ist das eigentlich ein Problem?

Beide Seiten haben gute Argumente. Auf der einen Seite ist es absolut richtig, dass Linux Mint Sicherheitsupdates für bestimmte Pakete standardmäßig deaktiviert. Dies führt zu einem Mint-System mit bekannteren Sicherheitslücken, die theoretisch ausgenutzt werden könnten.

Andererseits ist es richtig, dass diese Sicherheitslücken nicht aktiv ausgenutzt werden. Linux Mint aktualisiert Software, die wie Webbrowser tatsächlich angegriffen wird. Es ist auch wahr, dass Updates auf X.org in der Vergangenheit Probleme verursacht haben. Im Jahr 2006 brach ein Ubuntu-Update den X-Server vieler Ubuntu-Benutzer, die es installiert hatten, und zwang sie in das Linux-Terminal. Betroffene Benutzer mussten ihre Systeme vom Terminal aus reparieren. Die Aktualisierungsrichtlinie von Linux Mint wurde nur ein Jahr später im Jahr 2007 festgelegt. Es ist daher wahrscheinlich, dass diese Episode die derzeitige Haltung von Linux Mint beeinflusste.

Wenn Sie ein Heimdesktop-Benutzer sind, werden Sie wahrscheinlich nicht durch einen Fehler im Linux-Kernel gefährdet. Wenn Sie einen Server betreiben, der dem Internet ausgesetzt ist, oder eine geschäftliche Arbeitsstation betreiben, auf die Sie den Zugriff beschränken möchten, sollten Sie sicherstellen, dass alle möglichen Sicherheitsupdates installiert sind.

Sicherheitsupdates in Linux Mint steuern

Jeder Linux Mint-Benutzer, der lieber alle Sicherheitsupdates von Ubuntu erhalten möchte, kann diese im Update Manager von Mint aktivieren. Diese Updates werden nicht "gehackt", sondern standardmäßig nur deaktiviert.

Um diese Einstellung zu steuern, öffnen Sie die Anwendung Update Manager im Menü Ihrer Desktopumgebung. Klicken Sie auf das Menü Bearbeiten und wählen Sie Einstellungen. Sie können dann die "Stufen" der Pakete auswählen, die Sie installieren möchten. "Levels" sind in der Mint-Update-Regeldatei definiert, die wir bereits erwähnt haben. Die Stufen 1-3 sind standardmäßig aktiviert, während die Stufen 4-5 standardmäßig deaktiviert sind. Firefox ist ein Paket der Stufe 2, das standardmäßig aktualisiert wird. X.org und der Linux-Kernel sind Level 4 bzw. 5 und werden daher standardmäßig nicht aktualisiert.

Aktivieren Sie die Stufen 4 und 5, und Sie erhalten die gleichen Updates wie in Ubuntu - sie stammen aus Ubuntus eigenen Update-Repositorys -, aber Sie sind einem erhöhten Risiko von "Regressionen" ausgesetzt, die Probleme verursachen.

Die wirkliche Meinungsverschiedenheit hier ist eine philosophische. Ubuntu ist ein Fehler bei der Aktualisierung von Standardeinstellungen, wodurch alle möglichen Sicherheitsanfälligkeiten beseitigt werden. Dies gilt auch für Sicherheitsanfälligkeiten, die auf Heimanwendersystemen wahrscheinlich nicht ausgenutzt werden. Linux Mint begeht beim Ausschließen von Updates, die möglicherweise Probleme verursachen könnten.

Welche Lösung Sie bevorzugen, hängt davon ab, wofür Sie Ihren Computer einsetzen und wie gut Sie mit den Risiken umgehen.