流行的 Linux 发行版 Linux Mint 昨天承认被人入侵网站修改了下载地址，将下载指向了一个植入了后门的版本。开发者被批评在安全上和质量上不专业。
不专业的地方包括了：
- 它没有第一时间发布安全公告；
- 使用可以生成碰撞的 md5 算法来做校验；
- 将自己的二进制包与来自 Debian 和 Ubuntu 的二进制包混在一起，没有重新构建，导致系统更新难以预测，开发者的权宜做法是用黑名单默认屏蔽特定包更新，可能导致重要的安全更新没有安装；
- 在使用来自 Debian 和 Ubuntu 的二进制包的同时 Linux Mint 使用了重名的软件包。比如它将 gdm2 的分支命名为 mdm——代表Mint Display Manager，但 Debian 中已经有了一个叫 mdm 的软件包，此举使得 Debian 的 mdm 包无法安装。
开发者的另一个大问题是无视许可证和版权，它的镜像预装了甲骨文的 Java 和 Adobe Flash，以及多个可能侵犯专利的多媒体编解码器。
原创文章，作者：ItWorker，如若转载，请注明出处：https://blog.ytso.com/tech/linux/54412.html