Команда разработчиков проекта KDE внесла серьезные коррективы в состав своей операционной системы KDE Linux. После проведенного внутреннего аудита безопасности архитектура системы стала более консервативной и предсказуемой: акцент смещен на использование стандартных решений вместо сторонних модулей ядра и полный отказ от зависимостей, которые могли угрожать стабильности.
Решение о «чистке» системы было принято Адрианом Вовком, Хади Чокром и Нейтом Грэмом после того, как в прошлом месяце в основном ядре Linux обнаружили ряд уязвимостей. Проверка выявила множество неиспользуемого или небезопасного ПО, от которого было решено избавиться для сокращения поверхности потенциальных атак.
Ключевые изменения в инфраструктуре KDE Linux
- Отказ от Zen Kernel: Дистрибутив переходит на использование стандартного ядра Linux. Разработчики пришли к выводу, что модифицированное ядро Zen не дает ощутимых преимуществ по сравнению с ручной настройкой параметров, а поддержка стандартного варианта значительно упрощает сопровождение проекта.
- Минимизация модулей ядра: Из системы удалены лишние модули ядра, которые представляли риск. В частности, драйверы для NTFS и CDemu были заменены на реализации через FUSE (Filesystem in Userspace). Такой перенос логики работы с файлами в пользовательское пространство гарантирует, что ошибки в драйверах не приведут к компрометации привилегированного уровня ядра.
- Очистка от стороннего ПО: Из базового образа были исключены внешние модули OpenRazer и APFS. Это сделано для упрощения процесса прохождения проверки Secure Boot. Также из состава удалены компоненты acpi_call, busybox, cryfs, encfs, hplip, v4l2loopback-utils и vpl-gpu-rt, которые не являются критически необходимыми для работы базовой системы.
- Отказ от устаревших технологий: Удаление поддержки fuse2 по соображениям безопасности может привести к тому, что некоторые старые приложения в формате AppImage перестанут запускаться. Разработчики призывают авторов ПО переходить на современный стандарт fuse3.
- Полный разрыв с AUR: Проект окончательно отказался от использования Arch User Repository (AUR). Это избавляет систему от инфраструктурной нестабильности и снижает зависимость от специфических особенностей упаковки пакетов Arch Linux.
Оптимизация сборки и тестирования
Помимо «зачистки» компонентов, команда внедрила новый подход к компиляции ПО. Теперь сборка ведется напрямую через kde-builder, минуя стадию создания и установки пакетов Arch через mkosi. Это позволило добиться более эффективного кэширования данных и упростило управление зависимостями.
Параллельно ведется работа над внедрением системы автоматического тестирования OpenQA. Она будет использоваться для предотвращения выпуска сборок с ошибками или некорректными файловыми атрибутами, а также для проверки корректности загрузки графической оболочки.
Все эти шаги направлены на превращение KDE Linux в эталонную, безопасную платформу с максимальным уровнем контроля над содержимым базового образа.
