Los desarrolladores de Ubuntu dicen que Linux Mint es inseguro. ¿Tienen razón?
Linux Mint es inseguro, según un desarrollador de Ubuntu empleado por Canonical que dice que no haría sus operaciones bancarias en línea en una PC con Linux Mint. El desarrollador alega que Linux Mint "hackea" importantes actualizaciones. ¿Es este un problema real o simplemente el miedo??
El desarrollador de Ubuntu involucrado se ha equivocado en ciertos hechos y ha dañado su propio caso, pero todavía hay un argumento real que se puede tener aquí. Ubuntu y Linux Mint manejan las actualizaciones de diferentes maneras, y cada una tiene sus propias compensaciones.
Las acusaciones de un desarrollador de Ubuntu
Oliver Grawert, un desarrollador de Ubuntu empleado por Canonical, comenzó la guerra verbal con este mensaje en la lista de correo de los desarrolladores de Ubuntu. En él, afirmó que las actualizaciones de seguridad "se eliminan explícitamente de Linux Mint para Xorg, el kernel, Firefox, el gestor de arranque y varios otros paquetes".
Proporcionó un enlace al archivo de reglas de actualización de Mint, indicando que “es una lista de paquetes [Mint] nunca se actualizará”. Esto es incorrecto: el archivo hace algo más complicado que eso, pero lo veremos más adelante. Continuó: "Yo diría que mantener en vigor un navegador del kernel vulnerable o xorg en lugar de permitir que las actualizaciones de seguridad proporcionadas sean instalador [sic] lo convierte en un sistema vulnerable ... personalmente no haría banca en línea con él;)".
Algunas de estas acusaciones son completamente falsas. Es cierto que Linux Mint bloquea las actualizaciones de paquetes como el servidor gráfico X.org, el kernel de Linux y el cargador de arranque de forma predeterminada. Sin embargo, estas actualizaciones no están "hackeadas de Linux Mint", como veremos más adelante. Linux Mint tampoco bloquea las actualizaciones de Firefox. Las actualizaciones del navegador web Firefox son importantes para la seguridad del mundo real y están permitidas de forma predeterminada, por lo que las alegaciones de este desarrollador de Ubuntu están fuera de punto. Sin embargo, todavía hay un argumento real aquí: Linux Mint bloquea ciertos tipos de actualizaciones de seguridad de forma predeterminada.
Respuesta de Linux Mint
El fundador y desarrollador líder de Linux Mint, Clement Lefebvre, respondió a estas acusaciones con una publicación en el blog. En él, señala que el desarrollador de Ubuntu estaba equivocado con respecto a las acusaciones que explicamos anteriormente. También aclara la razón de Linux Mint para excluir las actualizaciones de ciertos paquetes de forma predeterminada:
“En 2007, explicamos cuáles eran las deficiencias con la forma en que Ubuntu recomienda a sus usuarios aplicar a ciegas todas las actualizaciones disponibles. Explicamos los problemas asociados con las regresiones e implementamos una solución con la que estamos muy contentos ".
Firefox se actualiza automáticamente por Linux Mint, al igual que por Ubuntu. De hecho, ambas distribuciones usan el mismo paquete que proviene del mismo repositorio.
El principal argumento de Linux Mint es que los paquetes de actualización "a ciegas", como el servidor gráfico de X.org, el cargador de arranque y el kernel de Linux pueden causar problemas. Las actualizaciones de estos paquetes de bajo nivel pueden introducir errores en algunos tipos de hardware, mientras que los problemas de seguridad que resuelven no son realmente un problema para las personas que usan Linux Mint casualmente en casa. Por ejemplo, muchas fallas de seguridad en el kernel de Linux son vulnerabilidades de "escalamiento de privilegios locales". Pueden permitir que los usuarios con acceso limitado a la computadora se conviertan en usuarios root y obtengan acceso completo, pero no pueden ser explotados fácilmente desde un navegador web como un problema típico de seguridad en Java..
Es esto realmente un problema?
Ambas partes tienen buenos argumentos. Por un lado, es absolutamente cierto que Linux Mint está deshabilitando las actualizaciones de seguridad para ciertos paquetes de forma predeterminada. Esto deja a un sistema Mint con vulnerabilidades de seguridad más conocidas, que en teoría podrían ser explotadas..
Por otro lado, es cierto que estas vulnerabilidades de seguridad no se explotan activamente. Linux Mint actualiza el software que está bajo ataque real, como los navegadores web. También es cierto que las actualizaciones de X.org han causado problemas en el pasado. En 2006, una actualización de Ubuntu rompió el servidor X de muchos usuarios de Ubuntu que lo instalaron, forzándolos a entrar en el terminal de Linux. Los usuarios afectados debían reparar sus sistemas desde el terminal. La política de actualizaciones de Linux Mint se explicó un año después, en 2007, por lo que es probable que este episodio afecte la postura actual de Linux Mint..
Si es un usuario de escritorio doméstico, probablemente no se verá comprometido debido a una falla en el kernel de Linux. Por supuesto, si ejecuta un servidor expuesto a Internet u opera una estación de trabajo empresarial a la que desea restringir el acceso, debe asegurarse de que todas las actualizaciones de seguridad posibles estén instaladas..
Controlando Actualizaciones de Seguridad en Linux Mint
Cualquier usuario de Linux Mint que prefiera tener todas las actualizaciones de seguridad que los usuarios de Ubuntu pueden habilitar desde el Administrador de actualizaciones de Mint. Estas actualizaciones no están "eliminadas", sino que están deshabilitadas de forma predeterminada.
Para controlar esta configuración, abra la aplicación Update Manager desde el menú de su entorno de escritorio. Haga clic en el menú Editar y seleccione Preferencias. A continuación, podrá elegir los "niveles" de los paquetes que desea instalar. Los "niveles" se definen en el archivo de reglas de actualización de Mint que mencionamos anteriormente. Los niveles 1-3 están habilitados de forma predeterminada, mientras que los niveles 4-5 están deshabilitados de forma predeterminada. Firefox es un paquete de nivel 2, que se actualiza de forma predeterminada. X.org y el kernel de Linux son los niveles 4 y 5, respectivamente, por lo que no se actualizan de forma predeterminada.
Habilite los niveles 4 y 5 y obtendrá las mismas actualizaciones que obtendría en Ubuntu, provenientes de los propios repositorios de actualizaciones de Ubuntu, pero tendrá un mayor riesgo de "regresiones" que presentan problemas.
El verdadero desacuerdo aquí es uno filosófico. Ubuntu se equivoca al actualizar todo por defecto, eliminando todas las posibles vulnerabilidades de seguridad, incluso las que probablemente no serán explotadas en los sistemas de usuarios domésticos. Linux Mint se equivoca al excluir las actualizaciones que podrían causar problemas.
La solución que prefiera se reducirá a lo que está usando su computadora y lo cómodo que está con los riesgos..
