Nhà phát triển Ubuntu có liên quan đã nhận được một số sự kiện nhất định sai và bị hỏng trường hợp của chính mình, nhưng vẫn có một lập luận thực sự để có ở đây. Ubuntu và Linux Mint đối phó với các bản cập nhật theo nhiều cách khác nhau, và mỗi giao dịch đều có sự thỏa hiệp riêng.
Một cáo buộc của nhà phát triển Ubuntu
Oliver Grawert, một nhà phát triển Ubuntu sử dụng Canonical, đã bắt đầu chiến tranh bằng lời nói với thông báo này trên danh sách gửi thư của nhà phát triển Ubuntu. Trong đó, ông tuyên bố rằng các bản cập nhật bảo mật “được loại bỏ một cách rõ ràng khỏi Linux Mint cho Xorg, hạt nhân, Firefox, bộ nạp khởi động và các gói khác”.
Anh ta cung cấp liên kết tới tệp quy tắc Mint Update, cho biết rằng “danh sách các gói [Mint] sẽ không bao giờ cập nhật.” Điều này không chính xác - tệp này phức tạp hơn thế, nhưng chúng tôi sẽ nói về sau. Anh ta tiếp tục: "tôi sẽ cố gắng giữ một trình duyệt hạt nhân dễ bị tổn thương hoặc xorg thay vì cho phép các bản cập nhật bảo mật được cung cấp là trình cài đặt [sic] làm cho nó trở thành một hệ thống dễ bị tổn thương … Cá nhân tôi sẽ không làm ngân hàng trực tuyến với nó;)".
Một số cáo buộc này hoàn toàn không đúng sự thật. Đúng là Linux Mint chặn các bản cập nhật cho các gói như máy chủ đồ họa X.org, hạt nhân Linux và bộ nạp khởi động theo mặc định. Tuy nhiên, các bản cập nhật này không bị “tấn công khỏi Linux Mint”, như chúng tôi sẽ hiển thị sau. Linux Mint cũng không chặn cập nhật cho Firefox. Các cập nhật đối với trình duyệt web Firefox rất quan trọng đối với bảo mật thế giới thực và được cho phép theo mặc định, vì vậy các cáo buộc của nhà phát triển Ubuntu này là không chính xác. Tuy nhiên, vẫn có một lập luận thực sự ở đây - Linux Mint sẽ chặn một số kiểu cập nhật bảo mật nhất định theo mặc định.
Phản ứng của Linux Mint
Người sáng lập Linux Mint và nhà phát triển hàng đầu Clement Lefebvre đã trả lời những cáo buộc này bằng một bài đăng trên blog. Trong đó, ông chỉ ra rằng các nhà phát triển Ubuntu đã không chính xác về những cáo buộc chúng tôi đã giải thích ở trên. Ông cũng làm rõ lý do của Linux Mint để loại trừ các cập nhật cho các gói nhất định theo mặc định:
“We explained in 2007 what the shortcomings were with the way Ubuntu recommends their users to blindly apply all available updates. We explained the problems associated with regressions and we implemented a solution we’re very happy with.”
Firefox được tự động cập nhật bởi Linux Mint, giống như Ubuntu. Trong thực tế, cả hai bản phân phối đều sử dụng cùng một gói đến từ cùng một kho lưu trữ.
Lập luận chính của Linux Mint là các gói cập nhật “mù quáng” như máy chủ đồ họa X.org, bộ nạp khởi động và nhân Linux có thể gây ra vấn đề. Bản cập nhật cho các gói cấp thấp này có thể giới thiệu các lỗi trên một số loại phần cứng, trong khi các vấn đề bảo mật mà chúng giải quyết không thực sự là vấn đề đối với những người sử dụng Linux Mint một cách tình cờ ở nhà. Ví dụ, nhiều lỗ hổng bảo mật trong hạt nhân Linux là lỗ hổng "đặc quyền leo thang". Chúng có thể cho phép người dùng có quyền truy cập hạn chế vào máy tính để trở thành người dùng root và có quyền truy cập đầy đủ, nhưng họ không thể dễ dàng bị khai thác từ trình duyệt web như vấn đề bảo mật điển hình trong Java.
Đây có phải là vấn đề không?
Cả hai bên đều có lý lẽ tốt. Một mặt, hoàn toàn đúng là Linux Mint đang vô hiệu hóa các cập nhật bảo mật cho các gói nhất định theo mặc định. Điều này để lại một hệ thống Mint với các lỗ hổng bảo mật được biết đến nhiều hơn, mà về mặt lý thuyết có thể bị khai thác.
Mặt khác, đúng là các lỗ hổng bảo mật này không được khai thác tích cực. Linux Mint cập nhật phần mềm đang bị tấn công thực sự, như trình duyệt web. Nó cũng đúng là cập nhật cho X.org đã gây ra vấn đề trong quá khứ. Trong năm 2006, bản cập nhật Ubuntu đã phá vỡ máy chủ X của nhiều người dùng Ubuntu đã cài đặt nó, buộc họ vào trong thiết bị đầu cuối Linux. Người dùng bị ảnh hưởng phải sửa chữa hệ thống của họ từ thiết bị đầu cuối. Chính sách của Linux Mint về các bản cập nhật đã được viết ra chỉ một năm sau đó trong năm 2007, vì vậy có khả năng tập này đã ảnh hưởng đến lập trường hiện tại của Linux Mint.
Nếu bạn là người dùng máy tính để bàn tại nhà, có thể bạn sẽ không bị xâm phạm vì có lỗ hổng trong hạt nhân Linux. Tất nhiên, nếu bạn chạy một máy chủ tiếp xúc với Internet hoặc điều hành một máy trạm làm việc mà bạn muốn hạn chế quyền truy cập, bạn nên đảm bảo tất cả các bản cập nhật bảo mật có thể được cài đặt.
Kiểm soát cập nhật bảo mật trong Linux Mint
Bất kỳ người dùng Linux Mint nào muốn có tất cả các bản cập nhật bảo mật mà người dùng Ubuntu có thể kích hoạt chúng từ bên trong Trình quản lý cập nhật của Mint. Các bản cập nhật này không bị “tấn công” nhưng bị tắt theo mặc định.
Để kiểm soát cài đặt này, hãy mở ứng dụng Trình quản lý cập nhật từ trình đơn của môi trường màn hình của bạn. Nhấp vào trình đơn Chỉnh sửa và chọn Tùy chọn. Sau đó, bạn sẽ có thể chọn “cấp độ” của gói bạn muốn cài đặt. "Levels" được định nghĩa trong tệp quy tắc cập nhật Mint mà chúng tôi đã đề cập trước đó. Cấp 1-3 được kích hoạt theo mặc định, trong khi các cấp 4-5 bị tắt theo mặc định. Firefox là gói cấp 2, được cập nhật theo mặc định. X.org và hạt nhân Linux là cấp 4 và 5 tương ứng, vì vậy chúng không được cập nhật theo mặc định.
Bật cấp 4 và 5 và bạn sẽ nhận được các bản cập nhật tương tự như trong Ubuntu - đến từ kho lưu trữ cập nhật của Ubuntu - nhưng bạn sẽ có nhiều nguy cơ bị “hồi quy” giới thiệu sự cố.
Sự bất đồng thực sự ở đây là một sự triết học. Ubuntu sai lệch về việc cập nhật mọi thứ theo mặc định, loại bỏ tất cả các lỗ hổng bảo mật có thể xảy ra - ngay cả những lỗ hổng không có khả năng bị khai thác trên các hệ thống người dùng gia đình. Linux Mint sai lầm về mặt loại trừ các bản cập nhật có khả năng gây ra sự cố.
Giải pháp bạn thích sẽ giảm xuống những gì bạn đang sử dụng máy tính và mức độ thoải mái của bạn với những rủi ro.
