Linux Mint podnosi się po ataku, a to dopiero początek jego problemów

W ostatnim czasie informowaliśmy o przejęciu oficjalnej strony internetowej dystrybucji Linux Mint przez hakerów, którzy umieścili na niej linki do złośliwych obrazów ISO z systemem. Lubiana dystrybucja została w ten sposób mocno skompromitowana, a może się to okazać początkiem jej problemów. Przez incydent głośno zrobiło się o Mincie w aspekcie, w którym system ma mocno kuleć. Mowa o bezpieczeństwie, ale nie tylko.

Linux Mint jest dystrybucją, której trudno nie darzyć sympatią. Odarty z Unity i innych mniej lub bardziej trafnych wymysłów Canonicala system cieszy się ogromną popularnością, co potwierdzają także rankingi serwisu distrowatch.com.

Dzieje się to między innymi za sprawą popularyzowanego najskuteczniej właśnie przez Minta środowiska graficznego Cinnamon, które zdaje się złotym środkiem pomiędzy przejrzystością a możliwościami konfiguracji. Mimo że przez wiele miesięcy sam korzystałem z Minta, trzeba przyznać, że zarzuty wobec twórców dystrybucji wysunięte przez Adriana Glaubitza, są więcej niż uzasadnione.

Głos Glaubitza w tej sprawie ma niebagatelne znaczenie ze względu na jego osiągnięcia i doświadczenie w pracach nad Debianem, ale także systemd czy GRUB-em. Niemiec jest także autorem paczki linux-minidisc przynoszącej wsparcie sprzętowe dla odtwarzaczy MiniDisc.

Glaubitz zauważa przede wszystkim, że twórcy systemu nie publikują, w odróżnieniu od programistów zaangażowanych w prace nad dziesiątkami innych dystrybucji, oficjalnych komunikatów, dzięki którym użytkownicy mogliby zweryfikować, czy ich instalacja jest podatna na określony atak. A to dopiero początek.

Ponadto ważny zarzut dotyczy mieszania binarek tworzonych dla Minta z tymi dziedziczonymi od Debiana czy Ubuntu, dzięki czemu występować mogą problemy w aktualizacji konkretnych pakietów. W związku z tym twórcy Minta wykluczają problematyczne paczki z listy aktualizowanych, to zaś powoduje narażanie użytkowników na niebezpieczeństwo w myśl, że nieaktualizowana paczka to podatna paczka.

Podobny kłopot stanowi praktyka, w której paczki importowane z Ubuntu i Debiana są przemianowywane w bardzo nierozsądny sposób: Glaubitz podaje przykład, w którym nazwa pakietu gdm2 została w Mincie zmieniona na mdm, nie bacząc na to, że inna przejęta z debiana paczka nosi już taką nazwę, przez co nie może być zainstalowana.

Podobnych komplikacji jest więcej. A to tylko ich część, zupełnie inny problem dotyczy licencjonowania. Glaubitz stwierdza, że w Mincie preinstalowne jest oprogramowanie do obsługi Javy czy Flasha i kilka własnościowych kodeków. W przypadku większości dystrybucji użytkownik może podczas instalacji wyrazić chęć ich instalowania, jednak zautomatyzowanie tego procesu jest już „licencyjnie problematyczne”.

Skompromitowanie Minta przez atak na serwery i zastąpienie oryginalnych obrazów zmodyfikowanymi, które narażają na atak końcowych użytkowników, to jedno, drugą kwestię stanowią następstwa. Nagle bowiem wielu specjalistów zwróciło uwagę na błędy i niedociągnięcia, które Mintowi, jako dystrybucji, o której trudno mówić, że jest przeznaczona dla biznesu czy profesjonalistów, uchodziły płazem. To właśnie się zmieniło.