privacyguides.org/i18n/sv/os/linux-overview.md

title	icon	description
Översikt över Linux	simple/linux	Linux is an open-source, privacy-focused desktop operating system alternative, but not all distribitions are created equal.

Man tror ofta att programvara med öppen källkod är säker i sig eftersom källkoden är tillgänglig. Det finns en förväntan på att gemenskapens kontroll sker regelbundet, men detta är inte alltid fallet . It does depend on a number of factors, such as project activity, developer experience, level of rigor applied to code reviews, and how often attention is given to specific parts of the codebase that may go untouched for years.

För närvarande har skrivbord Linux några områden som kan förbättras bättre jämfört med sina egenutvecklade motsvarigheter, t.ex.:

• En verifierad startkedja, som Apples Secure Boot (med Secure Enclave), Androids Verified Boot, ChromeOS Verified booteller Microsoft Windows bootprocess med TPM. Dessa funktioner och hårdvarutekniker kan alla bidra till att förhindra ihållande manipulering av skadlig kod eller evil maid-attacker
• En stark sandlådelösning som den som finns i macOS, ChromeOSoch Android. Vanligt förekommande sandboxing-lösningar för Linux, t.ex. Flatpak och Firejail, har fortfarande en lång väg att gå
• Starka åtgärder för att minska exploateringar

Trots dessa nackdelar är stationära Linux-distributioner bra om du vill:

• Undvik telemetri som ofta kommer med egna operativsystem
• Bevara frihet för programvara
• Har system som är inriktade på integritet, t.ex. Whonix eller Tails

På vår webbplats används i allmänhet termen "Linux" för att beskriva Linuxdistributioner för skrivbordsmiljöer. Andra operativsystem som också använder Linux-kärnan som ChromeOS, Android och Qubes OS diskuteras inte här.

Våra Linux-rekommendationer :material-arrow-right-drop-circle:{.md-button}

Välja din distribution

Inte alla Linux-distributioner är skapade lika. Medan vår Linux-rekommendationssida inte är avsedd att vara en auktoritativ källa på vilken distribution du ska använda, finns det några saker du bör tänka på när du väljer vilken distribution du ska använda.

Utgivningscykel

Vi rekommenderar starkt att du väljer distributioner som ligger nära de stabila uppströmsutgåvorna, ofta kallade rullande utgåvor. Detta beror på att frysta utgåvor ofta inte uppdaterar paketversioner och hamnar bakom säkerhetsuppdateringar.

För frusna distributioner som Debianförväntas paketansvariga backa patchar för att åtgärda sårbarheter snarare än att stöta programvaran till "nästa version" som släppts av uppströmsutvecklaren. Vissa säkerhetskorrigeringar inte får en CVE (särskilt mindre populär programvara) alls och därför inte göra det i distributionen med denna patching modell. Som ett resultat hålls mindre säkerhetskorrigeringar ibland tillbaka till nästa stora utgåva.

Vi tror inte att hålla paket tillbaka och tillämpa tillfälliga patchar är en bra idé, eftersom det skiljer sig från hur utvecklaren kan ha avsett att programvaran ska fungera. Richard Brown har en presentation om detta:

Traditionella och atomära uppdateringar

Traditionellt sett uppdaterar Linuxdistributioner genom att sekventiellt uppdatera de önskade paketen. Traditionella uppdateringar som de som används i Fedora-, Arch Linux- och Debianbaserade distributioner kan vara mindre tillförlitliga om ett fel uppstår under uppdateringen.

Distributioner med atomär uppdatering tillämpar uppdateringar i sin helhet eller inte alls. Typiskt sett är transaktionella uppdateringssystem också atomära.

Ett system för transaktionsuppdatering skapar en ögonblicksbild som görs före och efter att en uppdatering tillämpas. Om en uppdatering misslyckas när som helst (till exempel på grund av ett strömavbrott) kan uppdateringen enkelt återställas till ett "senast kända goda tillstånd"

Atomic update-metoden används för oföränderliga distributioner som Silverblue, Tumbleweed och NixOS och kan uppnå tillförlitlighet med den här modellen. Adam Šamalík gav en presentation om hur rpm-ostree fungerar med Silverblue:

"Säkerhetsfokuserad" distribution

Det råder ofta viss förvirring mellan "säkerhetsfokuserade" fördelningar och "pentesting"-fördelningar. En snabb sökning på "den säkraste Linuxdistributionen" ger ofta resultat som Kali Linux, Black Arch och Parrot OS. Dessa distributioner är offensiva distributioner för penetrationstestning som innehåller verktyg för att testa andra system. De innehåller ingen "extra säkerhet" eller defensiva åtgärder som är avsedda för vanlig användning.

Arch Linux baserade distributioner

Arch-baserade distributioner rekommenderas inte för dem som är nya i Linux (oavsett distribution) eftersom de kräver regelbundet underhåll av systemet . Arch har ingen distributionsuppdateringsmekanism för de underliggande programvaruvalen. Därför måste du hålla dig uppdaterad om aktuella trender och ta till dig teknik när den ersätter äldre metoder på egen hand.

För ett säkert system förväntas du också ha tillräckliga Linuxkunskaper för att korrekt konfigurera säkerheten för deras system, t.ex. anta ett obligatoriskt system för åtkomstkontroll, konfigurera kernel module blacklists, skärpa uppstartsparametrar, manipulera sysctl -parametrar och veta vilka komponenter de behöver, t.ex. Polkit.

Alla som använder Arch User Repository (AUR), måste vara bekväma med att granska PKGBUILDs som de installerar från den tjänsten. AUR-paket är innehåll som produceras av gemenskapen och är inte granskade på något sätt, och är därför sårbara för attacker i programvarukedjan, vilket faktiskt har hänt tidigare. AUR bör alltid användas sparsamt och ofta finns det många dåliga råd på olika sidor som uppmanar folk att blint använda AUR-hjälpmedel utan tillräcklig varning. Liknande varningar gäller för användning av tredje parts Personal Package Archives (PPAs) på Debianbaserade distributioner eller Community Projects (COPR) på Fedora.

Om du har erfarenhet av Linux och vill använda en Arch-baserad distribution rekommenderar vi endast huvudversionen av Arch Linux, inte något av dess derivat. Vi rekommenderar särskilt dessa två Arch-derivat:

• Manjaro: Denna distribution håller tillbaka paket i två veckor för att se till att deras egna ändringar inte går sönder, inte för att se till att uppströmsversionen är stabil. När AUR-paket används byggs de ofta med de senaste -biblioteken från Arch:s arkiv.
• Garuda: De använder Chaotic-AUR som automatiskt och blint kompilerar paket från AUR. Det finns ingen verifieringsprocess för att se till att AUR-paketen inte drabbas av attacker i leveranskedjan.

Kicksecure

Vi rekommenderar starkt att du inte använder föråldrade distributioner som Debian, men det finns ett Debianbaserat operativsystem som har hårdgjorts för att vara mycket säkrare än vanliga Linuxdistributioner: Kicksecure. Kicksecure är, förenklat uttryckt, en uppsättning skript, konfigurationer och paket som avsevärt minskar angreppsytan för Debian. Den täcker många rekommendationer för sekretess och skydd av integritet som standard.

Linux-libre-kärnan och "Libre"-distributioner

Vi rekommenderar starkt att inte använder Linux-libre-kärnan, eftersom den tar bort säkerhetsåtgärder och av ideologiska skäl undertrycker kärnans varningar om sårbar mikrokod.

Allmänna rekommendationer

Enhetskryptering

De flesta Linux-distributioner har ett alternativ i installationsprogrammet för att aktivera LUKS fde. Om det här alternativet inte är inställt vid installationstillfället måste du säkerhetskopiera dina data och installera om, eftersom krypteringen tillämpas efter diskpartitionering, men innan filsystem formateras. Vi föreslår också att du raderar din lagringsenhet på ett säkert sätt:

• Säker radering av data :material-arrow-right-drop-circle:

Växla

Överväg att använda ZRAM eller krypterad swap i stället för okrypterad swap för att undvika potentiella säkerhetsproblem med känsliga data som flyttas till swaputrymme. Fedora-baserade distributioner använder ZRAM som standard.

Wayland

Vi rekommenderar att du använder en skrivbordsmiljö som stöder visningsprotokollet Wayland eftersom det har utvecklats med säkerheten i åtanke. Dess föregångare, X11, har inte stöd för isolering av grafiska gränssnitt, vilket gör att alla fönster kan spela in skärmen, logga och injicera inmatningar i andra fönster, vilket gör alla försök till sandboxing meningslösa. Även om det finns alternativ för att göra nested X11, t.ex. Xpra eller Xephyr, har de ofta negativa konsekvenser för prestandan och är inte bekväma att konfigurera och är inte att föredra framför Wayland.

Lyckligtvis har vanliga miljöer som GNOME, KDEoch fönsterhanteraren Sway stöd för Wayland. Vissa distributioner som Fedora och Tumbleweed använder det som standard, och andra kan komma att göra det i framtiden eftersom X11 är i hard maintenance mode. Om du använder en av dessa miljöer är det lika enkelt som att välja "Wayland"-sessionen i skrivbordsdisplayhanteraren (GDM, SDDM).

Vi rekommenderar mot om du använder skrivbordsmiljöer eller fönsterhanterare som inte har stöd för Wayland, till exempel Cinnamon (standard i Linux Mint), Pantheon (standard i Elementary OS), MATE, Xfce och i3.

Proprietär fast programvara (uppdateringar av mikrokod)

Linuxdistributioner som Linux-libre eller DIY (Arch Linux) levereras inte med de proprietära mikrokodsuppdateringarna som ofta åtgärdar sårbarheter. Några anmärkningsvärda exempel på dessa sårbarheter är Spectre, Meltdown, SSB, Foreshadow, MDS, SWAPGS, och andra maskinvarusårbarheter.

Vi rekommenderar starkt att du installerar mikrokodsuppdateringar, eftersom din CPU redan kör den egenutvecklade mikrokoden från fabriken. Fedora och openSUSE har båda mikrokoduppdateringar som standard.

Uppdateringar

De flesta Linuxdistributioner installerar automatiskt uppdateringar eller påminner dig om att göra det. Det är viktigt att hålla operativsystemet uppdaterat så att programvaran korrigeras när en sårbarhet hittas.

Vissa distributioner (särskilt de som riktar sig till avancerade användare) är mer avskalade och förväntar sig att du gör saker själv (t.ex. Arch eller Debian). Dessa kräver att du kör "pakethanteraren" (apt, pacman, dnf, etc.) manuellt för att få viktiga säkerhetsuppdateringar.

Dessutom hämtar vissa distributioner inte uppdateringar av den fasta programvaran automatiskt. För detta måste du installera fwupd.

Verktyg för integritet

Randomisering av MAC-adresser

Många Linuxdistributioner för skrivbordssystem (Fedora, openSUSE osv.) levereras med NetworkManager, för att konfigurera Ethernet- och Wi-Fi-inställningar.

Det är möjligt att randomisera MAC-adressen MAC-adressen när du använder NetworkManager. Detta ger lite mer integritet i Wi-Fi-nätverk eftersom det är svårare att spåra specifika enheter i nätverket du är ansluten till. Den gör dig inte anonym.

Vi rekommenderar att du ändrar inställningen till random i stället för stable, vilket föreslås i artikeln .

Om du använder systemd-networkdmåste du ställa in MACAddressPolicy=random vilket aktiverar RFC 7844 (Anonymity Profiles for DHCP Clients).

Det finns inte många punkter i slumpmässig MAC-adress för Ethernet-anslutningar som en systemadministratör kan hitta dig genom att titta på den port du använder på -nätverksväxeln. Randomisering av Wi-Fi- MAC-adresser beror på stöd från Wi-Fi-programmets fasta programvara.

Andra identifierare

Det finns andra systemidentifierare som du bör vara försiktig med. Du bör fundera på om detta gäller för din hotmodell :

• Värdnamn: Systemets värdnamn delas med de nätverk du ansluter till. Du bör undvika att inkludera identifierande termer som ditt namn eller operativsystem i ditt värdnamn och i stället hålla dig till generiska termer eller slumpmässiga strängar.
• Användarnamn: På samma sätt används ditt användarnamn på olika sätt i systemet. Överväg att använda generiska termer som "användare" snarare än ditt faktiska namn.
• Machine ID:: During installation a unique machine ID is generated and stored on your device. Consider setting it to a generic ID.

System Counting

The Fedora Project counts how many unique systems access its mirrors by using a countme variable instead of a unique ID. Fedora does this to determine load and provision better servers for updates where necessary.

This option is currently off by default. We recommend adding countme=false to /etc/dnf/dnf.conf just in case it is enabled in the future. On systems that use rpm-ostree such as Silverblue, the countme option is disabled by masking the rpm-ostree-countme timer.

openSUSE also uses a unique ID to count systems, which can be disabled by deleting the /var/lib/zypp/AnonymousUniqueId file.