Linux 概述

Linux 是開源、注重隱私的桌面作業系統替代方案。 面對主流作業系統中普遍存在的遙測和其他侵犯隱私的技術，Linux 桌面仍是那些用戶希望能完全控制電腦的明智選擇。

我們網站通常使用術語 "Linux "來講述桌面Linux 發行版。 其它也使用Linux內核的作業系統，如 ChromeOS、Android 和Qubes OS，此處不作討論。

建議的 Linux 發行版

隱私筆記

用戶應考量 一些使用 Linux 須關注的隱私問題。 儘管有這些缺點，對於大多數用戶，桌面 Linux 發行版還是很棒：

• 避免商業作業系統經常出現的遙測現象
• 維護 軟體自由
• 使用專注隱私的系統如: Whonix 或 Tails

開源安全

人們往往迷思認為 Linux 與其它開源軟體本較安全，因為源代碼可以公開取得。 人們期望定期進行社群驗證；然而這種情況 並不常見。

現實中，發行版安全取決於許多因素，例如專案活動、開發人員經驗、用於代碼審查的嚴格程度以及代碼庫 特定部分的關注頻率，這些可能多年未被聞問。

遺失的安全功能

目前，在某些安全功能方面，桌面 Linux 落後於 macOS 或 Android 。 希望未來能看到這些領域的改進。

• Linux 的驗證開機 不如 Apple 的 Secure Boot 安全開機 或 Android’s Verified Boot 驗證開機。 驗證開機可防止惡意軟體的持久篡改和 evil maid attacks 邪惡女傭攻擊，但其仍未及於大多數進階的發行版本。

• Linux 上的應用程式嚴重缺乏強大的沙盒，即使便使用 Flatpaks 等容器化應用程式或 Firejail 等沙盒解決方案還是不足。 Flatpak 是迄今為止最被看好的 Linux 沙盒實用程式，但它仍存在許多缺陷，且允許不安全的默認設置，這使得大多數應用程式可輕鬆繞過其沙盒。

此外，Linux 在實施漏洞緩解措施方面落後，這些緩解措施現已成為其他操作系統的標準配置，例如 Windows 上的任意代碼防護或 macOS 上的強化運行時間。 此外，大多數 Linux 程序和 Linux 本身都是用記憶體不安全語言編寫的。 記憶體損壞錯誤是造成大多數漏洞的原因已修復並分配了CVE。 雖然 Windows 和 macOS 也是如此，但它們在使用記憶體安全語言（例如 Rust 和 Swift）上正在迅速進展，而Linux 方面則沒有這類以 Rust 重寫記憶體安全的投入 。

挑選發行版本

所有 Linux 發行版並非一模一樣。 我們的 Linux 推薦頁面並不是您使用哪個發行版的權威來源，但我們的建議與以下準則一致。 選擇發行版時應記住以下幾點：

發布週期

強烈建議您選擇與穩定的上遊軟體版本保持接近的發行版，通常稱為滾動發行版。 因為凍結發行週期旳發行版通常不會更新套件版本，並且在安全性更新方面落後。

像 Debian這樣的凍結發行版，套件維護人員預計會回移補丁修復漏洞，而不是將軟體提昇到上遊開發人員發布的“下一個版本”。 某些安全修復

根本没收到 CVE ID （特别是不流行的軟體），在此種補丁模式不會放入發行版。 因此小型安全修復有時候要等到下次主要發佈時才一起進行。

我們不認為保留軟體套件和應用臨時補丁是好主意，因為它偏離了開發者計畫讓軟體工作的方式。 Richard Brown 對此有一份簡報：

傳統 vs 原子更新

傳統上 Linux 發行版的是依次更新所需的軟體套件。 如果更新時發生錯誤，傳統更新例如 Fedora, Arch Linux 或 Debian 等發行版所用的更新將變得不太可靠。

原子式更新的發行版要嘛全都更新要嘛完全沒更新 通常事務性更新系統也是原子式的。

事務性更新系統會在更新前後建立快照應用。 如果更新發生失敗(例如因電力故障問題)，就可以輕鬆地滾動回"近期已知的良好狀態"。

原子更新法用於 Silverblue、Tumbleweed 和 NixOS 這類發行版通過此種模式實現可靠性。 Adam Šamalík 簡報了rpm-ostree 如何與 Silverblue 一起運作的情況:

“以安全爲重點的發行版

人們常會混淆“以安全為中心”的發行版和“滲透測試”發行版。 快速搜索“最安全的 Linux發行版”，通常會得到像 Kali Linux, Black Arch 或 Parrot OS 這樣結果。 這些發行版是攻擊性的滲透測試發行版，捆綁了測試其他系統的工具。 它們不包括任何 "額外的安全 "或常規使用的防禦性緩解措施。

基於 Arch Linux 的發行版

不推薦 Arch 或其相關發行版(無論哪個發行版)給剛接觸 Linux 的人，因為它們需要定期進行 系統維護。 Arch沒有底層軟體選擇的發行版更新機制。 因此，必須了解當前趨勢，並在新技術取代舊有做法時予以採用。

對於一個安全的系統，還應有足夠的 Linux 知識來作正確安全設置，如採用 強制性訪問控制 系統，設置 內核模塊 黑名單，硬化啟動參數，操作 sysctl 參數，並知道需要哪些組件，如 Polkit。

使用 Arch User Repository (AUR), 者必須 對該服務下載的 PKGBUILD進行審計。 AUR 軟體套件是社區製作的內容，未經任何審查，很容易受到軟體供應鏈的攻擊， 事實上已發生過這類事件。

應該少用 AUR，而往往各種網頁有很多不好的建議，指導人們盲目地使用 AUR 幫助器 卻沒有足夠警告。 類似的警告也適用基於Debian 發行版上使用第三方個人軟體套件檔案(PPAs)或 Fedora使用社區項目(COPR)。

如果是 Linux 老手，希望使用基於 Arch 發行版，我們只推薦主線 Arch Linux，而不是任何衍生品。

此外，我們特別反推薦這兩個 Arch 衍生品：

• Manjaro: 此發行版將軟體套件保留 2週，以確保不會破壞他們自己的修改，而不是確保上游的穩定。 使用AUR軟體套件時，通常是根據 Arch 軟體庫中最新的 存放庫構建。
• Garuda: 他們使用 Chaotic-AUR ，會自動地從 AUR 編譯軟件套件。 沒有驗證程序去確保 AUR 套件不會受到供應鏈攻擊。

Linux-libre 內核與 “Libre” 發行版

我們建議不使用 Linux-libre 內核，因為它刪除安全緩解措施並抑制有關易受攻擊的微代碼的內核警告。

一般性建議

磁碟加密

大多數Linux 發行版安裝程序中都有啟用 LUKS FDE之選項。 如果在安裝時沒有設置這個選項，就只能重新安裝，因為在 系統系統 被格式化 磁碟分區後進行加密。 我們還建議安全地刪除儲存設備。

• 安全資料清除

Swap

考慮使用 ZRAM 而不是傳統的 swap 檔案或分區，以避免將潛在敏感的記憶資料寫入持久存儲（並提高性能）。 基於 Fedora 的發行版 預設使用 ZRAM。

如果需要 suspend-to-disk （磁盤休眠）功能，則仍然需要使用傳統的swap 檔案或分區。 確保持久存儲設備上的任何交換空間予以加密，以減輕一些威脅。

Wayland

建議使用支持 Wayland 顯示協議的桌面環境，因為它的開發 考慮到了安全。 其前身( X11)，不支持GUI 隔離，允許所有視窗記錄畫面、日誌和注入其他視窗的輸入，使任何沙盒嘗試都是徒勞。 雖然有一些選項可以做嵌套 X11，比如 Xpra 或 Xephyr，但它們往往會帶來負面性能，設置也不方便，不如 Wayland 可取。

幸好 wayland 組成 例如包括在GNOME 與KDE Plasma 可以妥善支援 Wayland 與其它使用wlroots的組件 (例如 Sway). 某些發佈版本如 Fedora 和 Tumbleweed 預設使用它，有些則可能在未來也會這樣作在 X11 成為 硬性維護模式後。 如果使用以下的桌面環境，就像在桌面顯示管理器中選擇 "Wayland "一樣簡單(GDM, SDDM) 。

我們反對使用不支援 Wayland 的桌面環境或視窗管理器，如Cinnamon（Linux Mint）、Pantheon（Elementary OS）、MATE、Xfce 和 i3。

商用靭體(Microcode更新)

Linux 發行版，如 Linux-libre 或 DIY(Arch Linux)，不附帶商業專用的 微碼 更新，這類更新通常會修補漏洞。 這些漏洞的一些著名例子如: Spectre、 Meltdown 、SSB、Foreshadow、MDS、SWAPGS，以及其他硬體漏洞。

我們強烈建議安裝微碼更新，因為它們包含重要的 CPU 安全補丁，無法僅僅靠軟體緩解。 Fedora 和 openSUSE 都預設採用微碼更新。

更新

大多數 Linux 發行版會自動安裝更新或發出提醒。 重要的是保持作業系統系統最新，當發現漏洞時，可修補軟體。

一些發行版（尤其是那些針對進階用戶）更加簡陋，指望使用者自己能做一些事情（例如 Arch 或 Debian） 例如需要手動運行 "軟體套件管理器" (apt, pacman, dnf等等)，以便接收重要的安全更新。

此外，一些發行版不會自動下載靭體更新。 为此，你将需要安装 fwupd。

隱私微調

MAC 地址隨機化

許多桌面 Linux 發行版（Fedora、openSUSE等）自帶 網路管理員，以配置以太網和 Wi-Fi設置。

可隨機化<a href="https://en.wikipedia.org/wiki/MAC_address 使用NetworkManager 時的“MAC 位址”。 這在Wi-Fi 上提供了更多隱私，因為這讓追踪所連網路的特定設備變得更困難。 但這 並不是 讓您匿名。

建議將設定更改為隨機，而不是穩定，如這篇文章的說明。

如果使用 systemd-networkd，則需要設定 MACAddressPolicy=random 這將啟用RFC 7844（DHCP 用戶端的匿名設定檔）。

MAC 地址隨機化主要有利於 Wi-Fi 連接。 對以太網連接，隨機化 MAC 地址幾乎沒什麼好處（如果有的話），因為網絡管理員可以通過其他方式輕鬆識別您的設備（例如檢查您在網絡交換機上連接的端口）。 隨機化 Wi-Fi MAC 地址必須有 Wi-Fi 靭體支持。

其他標識符

還有一些其他的系統標識符，可能要小心對待。 您應該考慮看看是否適用於您的 威脅模型。

• 主機名稱 ，系統的主機名稱會分享到所連接的網路。 應避免主機名稱像你的名字或作業系統等具識別度的術語，最好用一般術語或隨機字符串。
• **用戶名稱 ** 。同樣地，用戶名稱會在系統中以各種方式使用。 考慮用 "用戶 "這樣一般常見字，而不是您的真實姓名。
• 機器 ID：：在安裝過程中，會生成一個獨特的機器ID 並存儲在您的設備上。 考慮 將它設置為一個通用 ID。

系統計數

Fedora 專案使用countme 變量而非獨特 ID 來計算多少系統訪問它的鏡像。 Fedora 這樣做是為了確定負載並在必要時為更新提供更好的伺服器。

這個 選項 ，目前預設為關閉。 我們建議將 countme=false 添加到 /etc/dnf/dnf.conf ，以備將來啟用。 使用 rpm-ostree 的系統，如 Silverblue，通過遮蔽 rpm-ostree-countme 計時器來禁用 countme 選項。

openSUSE 還使用唯一的 ID 來計算系統，可以通過刪除 /var/lib/zypp/AnonymousUniqueId 檔來禁用它。

You're viewing the English copy of Privacy Guides, translated by our fantastic language team on Crowdin. If you notice an error, or see any untranslated sections on this page, please consider helping out! 訪問 Crowdin

You're viewing the English copy of Privacy Guides, translated by our fantastic language team on Crowdin. If you notice an error, or see any untranslated sections on this page, please consider helping out!