openSUSE verwijdert Deepin Desktop vanwege schendingen van het beveiligingsbeleid
openSUSE verwijdert Deepin Desktop na het ontdekken van een beleids-schendende oplossing die gebruikt werd om vereiste beveiligingsbeoordelingen van gevoelige systeemcomponenten te omzeilen.
In recente ontwikkelingen heeft het openSUSE-project besloten om de Deepin Desktop Environment (DDE), die bekend staat om zijn verfijnde visuals en gebruiksvriendelijke ervaring, uit zijn repositories te verwijderen, met als reden substantiële schendingen van het verpakkingsbeleid.
Volgens onthullingen van het openSUSE-beveiligingsteam werd er een verontrustende workaround ontdekt in de DDE-pakketten. Specifiek introduceerde de Deepin-gemeenschapspackager een "licentieovereenkomst"-dialoog binnen het deepin-feature-enable-pakket, waarmee effectief de standaardbeveiligingsbeoordelingsprocessen die door openSUSE vereist zijn, werden omzeild.
Gewoonlijk moeten componenten zoals D-Bus systeemserviceconfiguraties en Polkit-beleidsregels een strenge beoordeling ondergaan door het SUSE-beveiligingsteam voordat ze op de witte lijst worden gezet voor opname in openSUSE-distributies.
In dit geval stelde de ontdekte “licentieovereenkomst” gebruikers echter in staat om deze beveiligingscontroles te omzeilen, door componenten te installeren die door het beveiligingsteam als potentieel onveilig zijn gemarkeerd, simpelweg door de licentie te accepteren.
Deze praktijk kwam aan het licht tijdens routinebeveiligingsbeoordelingen in januari 2025, waaruit bleek dat belangrijke Deepin-componenten, zoals de deepin-daemon en debestandsbeheerder, de formele beoordelingsprocessen helemaal hadden omzeild.
Hoewel de Deepin-pakkettenmaker waarschijnlijk niet kwaadwillend was en de beveiligingsproblemen openlijk communiceerde via de "licentieovereenkomst," werd de aanpak desalniettemin als onaanvaardbaar beschouwd vanwege duidelijke schendingen van de packaging-voorwaarden van openSUSE en de potentiële beveiligingsrisico's voor gebruikers.
Het diepere probleem is echter geworteld in de historisch gespannen interacties tussen de openSUSE beveiligingsteams en de upstream ontwikkelaars van Deepin.
Rapporten geven aan dat er terugkerende beveiligingsproblemen zijn, onvoldoende kwetsbaarheidsremediëring en inconsistente communicatie, mogelijk verergerd door taalbarrières (Deepin is een Chinese Linux-distributie die zich sterk richt op gebruikers in China) en beperkte upstream-bronnen. Kortom, het handhaven van een veilige en betrouwbare integratie van Deepin binnen openSUSE is steeds moeilijker geworden.
Gezien het beveiligingsrecord van Deepin en de zorgen die in de voorgaande sectie zijn geuit, raden we het gebruik van de Deepin-desktop op dit moment niet aan.
In reactie op deze ontwikkelingen zal openSUSE de Deepin Desktop volledig verwijderen uit de Tumbleweed rolling release en de komende Leap 16.0 distributie. Voor Leap 15.6 gebruikers zal alleen het problematische deepin-feature-enable pakket worden verwijderd.
Voor gebruikers die Deepin willen blijven gebruiken ondanks erkende beveiligingszorgen, stelt openSUSE voor om handmatig de Deepin-ontwikkelingsprojectrepositories toe te voegen. Niettemin worden gebruikers aangespoord om voorzichtig te zijn gezien de genoemde beveiligingsrisico's.
Voor meer informatie, zie de officiële openSUSE aankondiging.
Afbeeldingscredits: openSUSE