Pengembang Ubuntu Mengatakan Linux Mint Tidak Aman. Apakah Mereka Benar?

Linux Mint tidak aman, menurut pengembang Ubuntu yang dipekerjakan oleh Canonical yang mengatakan dia tidak akan melakukan perbankan online pada Linux Mint PC. Pengembang menuduh bahwa Linux Mint "meretas" pembaruan penting. Apakah ini masalah nyata atau hanya takut-mongering?

Pengembang Ubuntu yang terlibat telah mendapatkan fakta-fakta tertentu salah dan merusak kasusnya sendiri, tetapi masih ada argumen nyata yang bisa didapat di sini. Ubuntu dan Linux Mint berurusan dengan pembaruan dengan cara yang berbeda, dan masing-masing memiliki trade-off sendiri.

Tuduhan Pengembang Ubuntu

Oliver Grawert, pengembang Ubuntu yang dipekerjakan oleh Canonical, memulai perang verbal dengan pesan ini di milis pengembang Ubuntu. Di dalamnya, ia menyatakan bahwa pembaruan keamanan "secara eksplisit diretas dari Linux Mint untuk Xorg, kernel, Firefox, bootloader dan berbagai paket lainnya".

Dia memberikan tautan ke file aturan Pembaruan Mint, yang menyatakan bahwa itu "adalah daftar paket [Mint] tidak akan pernah diperbarui." Ini tidak benar - file melakukan sesuatu yang lebih rumit dari itu, tetapi kita akan membahasnya nanti. Dia melanjutkan: "Saya akan mengatakan dengan paksa menjaga browser kernel atau xorg rentan di tempat daripada membiarkan pembaruan keamanan yang disediakan menjadi installer [sic] menjadikannya sistem yang rentan ... Saya pribadi tidak akan melakukan perbankan online dengannya;)".

Beberapa dari tuduhan ini sama sekali tidak benar. Memang benar bahwa Linux Mint memblokir pembaruan untuk paket-paket seperti server grafis X.org, kernel Linux, dan bootloader secara default. Namun, pembaruan ini tidak "diretas dari Linux Mint," seperti yang akan kami tunjukkan nanti. Linux Mint juga tidak memblokir pembaruan untuk Firefox. Pembaruan untuk browser web Firefox penting untuk keamanan dunia nyata dan diizinkan secara default, sehingga tuduhan pengembang Ubuntu ini tidak tepat. Namun, masih ada argumen nyata di sini - Linux Mint memang memblokir jenis pembaruan keamanan tertentu secara default.

Tanggapan Linux Mint

Pendiri dan pengembang utama Linux Mint Clement Lefebvre menanggapi tuduhan ini dengan posting blog. Di dalamnya, ia menunjukkan bahwa pengembang Ubuntu salah tentang tuduhan yang kami jelaskan di atas. Dia juga menjelaskan alasan Linux Mint untuk mengecualikan pembaruan untuk paket tertentu secara default:

“Kami menjelaskan pada 2007 apa kekurangannya dengan cara Ubuntu merekomendasikan pengguna mereka untuk secara membuta menerapkan semua pembaruan yang tersedia. Kami menjelaskan masalah yang terkait dengan regresi dan kami menerapkan solusi yang sangat kami sukai. "

Firefox diperbarui secara otomatis oleh Linux Mint, sama seperti Ubuntu. Faktanya, kedua distribusi menggunakan paket yang sama yang berasal dari repositori yang sama.

Argumen utama Linux Mint adalah bahwa paket pembaruan "secara membabi buta" seperti server grafis X.org, bootloader, dan kernel Linux dapat menyebabkan masalah. Pembaruan untuk paket tingkat rendah ini dapat menimbulkan bug pada beberapa jenis perangkat keras, sementara masalah keamanan yang mereka selesaikan sebenarnya bukan masalah bagi orang yang menggunakan Linux Mint dengan santai di rumah. Sebagai contoh, banyak kelemahan keamanan di kernel Linux adalah kerentanan "peningkatan hak istimewa lokal". Mereka mungkin memungkinkan pengguna dengan akses terbatas ke komputer untuk menjadi pengguna root dan mendapatkan akses lengkap, tetapi mereka tidak dapat dengan mudah dieksploitasi dari browser web seperti masalah keamanan khas di Jawa bisa.

Apakah Ini Sebenarnya Masalah??

Kedua belah pihak memiliki argumen yang bagus. Di satu sisi, memang benar bahwa Linux Mint menonaktifkan pembaruan keamanan untuk paket tertentu secara default. Ini meninggalkan sistem Mint dengan kerentanan keamanan yang lebih dikenal, yang secara teoritis dapat dieksploitasi.

Di sisi lain, memang benar bahwa kerentanan keamanan ini tidak dieksploitasi secara aktif. Linux Mint memperbarui perangkat lunak yang sedang diserang, seperti browser web. Benar juga bahwa pembaruan X.org telah menyebabkan masalah di masa lalu. Pada tahun 2006, pembaruan Ubuntu memecah server X dari banyak pengguna Ubuntu yang menginstalnya, memaksa mereka ke terminal Linux. Pengguna yang terpengaruh harus memperbaiki sistem mereka dari terminal. Kebijakan Linux Mint tentang pembaruan dijabarkan hanya setahun kemudian pada tahun 2007, sehingga kemungkinan episode ini memengaruhi sikap Linux Mint saat ini.

Jika Anda adalah pengguna desktop rumah, Anda mungkin tidak akan dikompromikan karena cacat pada kernel Linux. Tentu saja, jika Anda menjalankan server yang terpapar ke Internet atau mengoperasikan workstation bisnis yang ingin Anda batasi aksesnya, Anda harus memastikan semua pembaruan keamanan yang mungkin telah diinstal.

Mengontrol Pembaruan Keamanan di Linux Mint

Setiap pengguna Linux Mint yang lebih suka memiliki semua pembaruan keamanan yang didapatkan pengguna Ubuntu dapat mengaktifkannya dari dalam Pengelola Pembaruan Mint. Pembaruan ini tidak "diretas," tetapi hanya dinonaktifkan secara default.

Untuk mengontrol pengaturan ini, buka aplikasi Update Manager dari menu lingkungan desktop Anda. Klik menu Edit dan pilih Preferensi. Anda kemudian dapat memilih "level" paket yang ingin Anda instal. "Level" didefinisikan dalam file aturan pembaruan Pembaruan yang kami sebutkan sebelumnya. Level 1-3 diaktifkan secara default, sementara level 4-5 dinonaktifkan secara default. Firefox adalah paket level 2, yang diperbarui secara default. X.org dan kernel Linux masing-masing adalah level 4 dan 5, sehingga tidak diperbarui secara default.

Aktifkan level 4 dan 5 dan Anda akan mendapatkan pembaruan yang sama seperti di Ubuntu - berasal dari repositori pembaruan Ubuntu sendiri - tetapi Anda akan lebih berisiko “regresi” yang menimbulkan masalah..

Ketidaksepakatan yang sebenarnya di sini adalah perbedaan filosofis. Ubuntu melakukan kesalahan saat memperbarui semuanya secara default, menghilangkan semua kemungkinan kerentanan keamanan - bahkan yang tidak mungkin dieksploitasi pada sistem pengguna rumahan. Linux Mint salah di sisi mengecualikan pembaruan yang berpotensi menyebabkan masalah.

Solusi mana yang Anda sukai akan mengarah pada apa yang Anda gunakan untuk komputer Anda dan seberapa nyaman Anda dengan risikonya.