O mundo do software livre é repleto de colaboração, inovação e, às vezes, controvérsias. Recentemente, o ambiente de desktop Deepin (DDE) foi removido das distribuições oficiais do openSUSE devido a uma violação das políticas de empacotamento. Mas o que exatamente aconteceu?
Vamos mergulhar nessa história, que envolve D-Bus, Polkit, licenças questionáveis e uma longa lista de revisões de segurança.
O que o Deepin DDE estava fazendo no openSUSE?
O Deepin Desktop Environment (DDE) é um ambiente de desktop considerado por muitos como elegante e moderno, originário da distribuição chinesa Deepin. Focado em usabilidade e design polido, ele conquistou muitos usuários ao redor do mundo, incluindo aqueles que utilizam o openSUSE.
No entanto, a inclusão do Deepin no openSUSE sempre foi um desafio devido a preocupações de segurança. Recentemente, descobriu-se que um pacote chamado deepin-feature-enable estava contornando os requisitos de revisão de segurança do openSUSE, instalando componentes restritos sem aprovação.
Resultado? O Deepin foi removido do openSUSE Tumbleweed e da futura versão Leap 16.0.
O bypass da política de empacotamento
A equipe de segurança do SUSE exige que certos componentes sensíveis, como configurações de D-Bus e políticas do Polkit, passem por uma revisão antes de serem incluídos nos repositórios oficiais. Isso garante que serviços rodando com privilégios elevados não representem riscos aos usuários.
Mas e se alguém decidir simplesmente ignorar esse processo? Foi exatamente isso que aconteceu.
O pacote deepin-feature-enable foi introduzido em 2021 sem qualquer consulta à equipe de segurança. Ele exibe um “diálogo de licença” que, resumidamente, diz algo como:
“O time de segurança do SUSE tem dúvidas sobre a segurança do Deepin, mas se você não se importa, aceite esta licença para instalar os componentes necessários.”
Se o usuário pressionar “y”, o pacote extrai automaticamente arquivos de configuração do D-Bus e do Polkit de tarballs escondidos em outros pacotes.
Essa é uma abordagem problemática, pois:
- Contorna a revisão de segurança, pois componentes não aprovados são instalados sem análise.
- Há a falta de rastreamento pelo gerenciador de pacotes – Arquivos são copiados manualmente, dificultando a desinstalação.
- Expõe usuários a riscos, afinal, muitos desses componentes já foram identificados como problemáticos em revisões anteriores.
Ou seja: “Aceitar a licença” significava abrir mão da segurança.
A relação entre o Deepin e o openSUSE é complicada há bastante tempo. Desde 2017, diversos componentes do Deepin foram submetidos a revisões, e a maioria apresentou falhas graves.
2017-2019: os primeiros problemas
- deepin-api (2017): Serviço D-Bus rodando como root, permitindo que qualquer usuário executasse comandos arbitrários;
- deepin-clone (2019): Vulnerabilidades em políticas do Polkit, incluindo vazamento de informações e possibilidade de impedir a desmontagem de dispositivos;
- deepin-file-manager (2019): Um verdadeiro pesadelo de segurança – métodos D-Bus sem autenticação permitiam criar grupos UNIX, definir senhas Samba e até sobrescrever arquivos do sistema.
2021-2024: novos componentes, velhos problemas
- deepin-system-monitor (2021): Um caso marcante, pois foi um dos poucos em que a revisão foi concluída sem grandes problemas;
- deepin-app-services (2023): Serviço D-Bus que permitia injeção de caminhos relativos (../), possibilitando a leitura de arquivos fora do diretório pretendido;
- deepin-api-proxy (2024): Descobriu-se um exploit de escalonamento de privilégios devido a um erro no design do proxy.
Com todos esses problemas, foram percebidos padrões preocupantes. Podemos destacar a falta de cultura de segurança, afinal, muitas correções eram parciais ou introduziam novas vulnerabilidades. A comunicação não é fluida, o projeto Deepin demonstrou dificuldade em responder a relatórios de segurança. E também tem as mudanças constantes nas APIs , dificultando rastrear e corrigir problemas consistentemente.
Uma pausa necessária
Diante desse histórico, a equipe do openSUSE decidiu que não faz sentido manter o Deepin nos repositórios oficiais até que os componentes críticos sejam devidamente revisados e corrigidos, haja um compromisso maior com a segurança por parte dos desenvolvedores do Deepin e um processo de empacotamento mais transparente seja estabelecido.
Isso não significa que o Deepin está morto no openSUSE, mas sim que ele precisa de uma reavaliação profunda.
Se você realmente quer usar o Deepin DDE no openSUSE, ainda é possível adicionar os repositórios de desenvolvimento manualmente:
# Adicionar o repositório do Deepin Factory root# zypper ar https://download.opensuse.org/repositories/X11:/Deepin:/Factory/openSUSE_Tumbleweed deepin-factory # Atualizar os repositórios root# zypper ref Mas lembre-se: esses pacotes não são revisados pela equipe de segurança do SUSE. Use por sua própria conta e risco.
E assim, o Deepin deixa temporariamente o openSUSE. Será que um dia voltará? Depende de como a comunidade e os desenvolvedores lidarem com esses desafios. Enquanto isso, talvez seja bom dar uma chance ao KDE ou GNOME. Pelo menos lá, a autenticação do Polkit não vem com um “concordo com os termos e condições” duvidoso.
