openSUSE retire le bureau Deepin pour violations de la politique de sécurité
openSUSE retire le bureau Deepin après avoir découvert un contournement violant la politique utilisé pour contourner les examens de sécurité requis des composants sensibles du système.
Dans un développement récent, le projet openSUSE a décidé de retirer l'environnement de bureau Deepin (DDE), bien connu pour ses visuels soignés et son expérience utilisateur conviviale, de ses dépôts, citant des violations substantielles de la politique d'emballage.
Selon des divulgations de l'équipe de sécurité openSUSE, un contournement préoccupant a été découvert dans l'emballage DDE. En particulier, le paquet communautaire Deepin a introduit une boîte de dialogue de « contrat de licence » dans le paquet deepin-feature-enable, contournant effectivement les processus de révision de sécurité standard exigés par openSUSE.
Ordinairement, des composants tels que les configurations de service système D-Bus et les politiques Polkit doivent subir un examen rigoureux par l'équipe de sécurité SUSE avant d'être autorisés à être inclus dans les distributions openSUSE.
Dans ce cas, cependant, la « licence d'accord » découverte permettait aux utilisateurs de contourner ces vérifications de sécurité, en installant des composants signalés par l'équipe de sécurité comme potentiellement dangereux simplement en acceptant la licence.
Cette pratique a émergé lors des examens de sécurité de routine en janvier 2025, révélant que des composants clés de Deepin, tels que le deepin-daemon et le gestionnaire de fichiers, avaient contourné complètement les processus d'examen formels.
Bien que le packager Deepin n'ait probablement pas eu l'intention de causer un préjudice malveillant et qu'il ait communiqué ouvertement les préoccupations en matière de sécurité via l'« accord de licence », cette approche a néanmoins été jugée inacceptable en raison de violations claires des politiques de packaging d'openSUSE et des risques de sécurité potentiels pour les utilisateurs.
Le problème plus profond, cependant, est ancré dans les interactions historiquement tendues entre les équipes de sécurité d'openSUSE et les développeurs en amont de Deepin.
Les rapports indiquent des préoccupations de sécurité récurrentes, une remédiation des vulnérabilités insuffisante et une communication incohérente, possiblement exacerbée par des barrières linguistiques (Deepin est une distribution Linux chinoise ciblant fortement les utilisateurs en Chine) et des ressources en amont limitées. Par conséquent, maintenir une intégration sécurisée et fiable de Deepin au sein de openSUSE est devenu de plus en plus intenable.
Étant donné le dossier de sécurité de Deepin et les préoccupations exprimées dans la section précédente, nous ne recommandons pas l'utilisation du bureau Deepin en ce moment.
En réponse à ces développements, openSUSE supprimera complètement Deepin Desktop de la version Tumbleweed à circulation continue et de la prochaine distribution Leap 16.0. Pour les utilisateurs de Leap 15.6, seul le paquet problématique deepin-feature-enable sera supprimé.
Pour les utilisateurs qui souhaitent continuer à utiliser Deepin malgré les préoccupations de sécurité reconnues, openSUSE suggère d'ajouter manuellement les dépôts de projets de développement Deepin. Néanmoins, les utilisateurs sont invités à faire preuve de prudence compte tenu des risques de sécurité décrits.
Pour plus d'informations, consultez l'annonce officielle d'openSUSE.
Crédits d'image : openSUSE