主题：Ubuntu 8.04今日正式发布 -- chela

与 windows 不一样的是每一个 Linux 的发行版都是与其软件包管理 (package management) 紧密相联的。像 debian 与 ubuntu 你所要做的就是打一个命令，或是在图形界面下的软件列表中打个勾就软件安装好了。这其实是这些发行版很值得骄傲的地方比起 windows 的什么从小网站上下载来安装好的不知道多什么倍。

这样倒比在一般软件下载站下window软件更保险些。

其實Linux攻擊起來也沒什么別扭的，以前對Linux、Unix做溢出攻擊比Windows還方便呢，Linux系統可以直接把系統調用塞shellcode里，Windows要過解釋中斷，倒更費事

软件包管理 (package management)固然不错。但不是什么软件在默认的 repository 里都有。如果在某个 repository 里没有，你得自己加。

服务器一般不用装乱七八糟的软件（其实大多数的服务器连桌面都不装的。）这个问题当然不严重。如果你是用桌面系统，呵呵，要装的玩意儿可就多了。例如要看电影装个 Codec 。呵呵，apt 用不了怎么办？你找到的倒是可能有源代码，可你也得自己编译吧。你会看那源代码里写了些啥么？我有时候是看的。不过如果有几千行源代码，很多时候就懒得看了。一般用户就更不会看了。

Linux 现在还特兴 “One-Click Install”。你跑到某个网站上。网站告诉你点这个链接就立刻把软件给你在机器里按上。方便是方便了。可你知道人家又没有给你多按个后门之类的？

其实，说到底还是你到底信不信任软件发行商的问题。Windows 在系统里按恶意软件，偷取用户信息已经臭名昭著。但并不是说 Linux 的发行商就不会这么干。现在还有谁装 Linux 是真的从源文件编译开始安装的呢？即使是 Gentoo 现在也早让用户有直接装 Binary 的选择了。那些 Binary 里就一个木马也没有？一个跟美国安全局（或其他国家的类似机构）联系的软件都没有？天知道。

而且，即使你有全套的 Linux 源文件，你也从编译开始安装，而且你还读了所有的源文件（虽然我认为现在没人能做到这点。）。可是对不起，编译器本身就可以用来在编译过程中掺入漏洞。这是已经在过去证明过的。

所以，Linux 也未必那么安全。大家都是眼不见为净罢了。

就没东西是安全的了。你就的可都是理论啊，但是 Windows 的恶意软件、病毒、木马都是很现实的东西， Linux 上的病毒、木马有归有，但是很少很少，恶意软件暂时还没听说。光一句 Linux 还不普及，桌面用户少可不是万金油啊。

我真的没看出来他是这个意思。我只看到他在说我不看源代码，所以你公开源代码没用，你还是有可以在源代码里插些什么东西的，我不知道，我有可能中毒！

理论上是这样，可是我认为再小的网站，人家也不会只做你一个人的生意吧？既然开放源代码了，谁都有可能看到，当然绝大多数人可能根本不看。但是换任爱杰先生来做病毒，他愿不愿意冒这个风险？

而你呢？为什么说你主观呢？讲到Linux，你指出一句“有问题的话就很糟糕”为什么很糟糕？你没说。对于 Windows 呢？你先把“不是用盗版”的问题排除了。盗版的问题见仁见智， Realplayer公司算正经公司吧？我从官网下Realplayer，照样捆绑插件，我认为这不是特例，现在软件开始流行免费，但是怎么从中赚钱呢？谁知道？我觉得这些比开源软件的免费更危险了。

服务器的问题，大概你见过的服务器都比较高端，所以专机专用，保护严密。但是，这不正是显示黑客实力的机会？至于第二点，我在网上不止一次看到有人炫耀：“昨天我在公司的服务器上用迅雷拖电影，爽啊！”“我跟管理员那哥们在服务器上跑魔兽，特效全开！”有许多网站的管理员，实际的道德和技术上都不是那么专业。

至于系统架构的问题，我是说的比较含糊，因为实际上我也不是很懂，但是Vista的UAC刚出来的时候，微软 Windows部门联合总裁阿尔钦曾经发出过“Vista不需要第三方杀毒软件”的豪言。“他对 Vista的信心来源于新的安全功能，其中包括父母控制和Address Space Layout Randomisation”虽然人家后来又改口了，可是在我看来，那还是在给Vista的安全做广告。

可是Linux下的权限控制，早Vista多少年了？网上有一篇解释Linux权限的文章：澄清一下linux下病毒少的主要原因 还有一个Linux病毒艰辛短暂的一生 我没有耐心去找原始出处，但是在我看来，比起什么“Linux用户少，所以病毒少”的话，有道理得多了。

Ubuntu是Debian下面的商业化版本，和knoppix，EEE PC 上面的xanadro一起都属于Debian家族成员（DCA），不过最近在闹分家。

它如此独特主要是因为它比Debian的政策要宽松的多，Debian的目标是创建一个每一个部分都是完全自由使用的系统。这个条件如此之严以至于我的机器上Firefox都不叫firefox，叫做iceweasel，因为Mozilla对firefox的名字持有版权。所以像Nvidia等不自由的驱动程序，各种视频播放Debian主服务器都没有，而要用户去别的服务器上分别下载，这就给维护带来了难度。Ubuntu把这些都集成在一起。特别强调了桌面用户。

还有就是Debian稳定版本发行速度比较慢，因为Debian需要同时在10来种不同体系结构，从嵌入式的arm到IBM Z-系列大型机中同时达到稳定。而Ubuntu只需要维护x86／amd64一支就可以了。所以成本很低。但是这个功能强大是建立在Debian本身软件管理非常强大的基础上的。Debian下面有超过2万六千种软件包。不需要Ubuntu开发。

Debian是一个非盈利机构，当然也有很多大企业赞助他。因为只要一个用户开始用Debian，他基本上不会再考虑别的版本（不过我看了RHEL，那个也很棒！)。Debian在Linux/BSD世界以出奇的稳定性和适应性出名。比如我现在工作站上一般用的是Debian的不稳定分支，经常有剧烈的更改，但是只要稍微保守点安装程序，随便稳定地运行个一两年小意思。

我并不喜欢Ubuntu的那种半年一次的升级，这种做法是取悦普通用户的。对于像我这样不关心版本升级的人来说，不适合。在Debian下一个apt命令就能把整个系统提升到最新版。

Ubuntu在用户易用性上面下了很多功夫。有些包出的比Debian快。不过在我的机器上面是混用的。两者包基本上可以互相换着用。

他投资1000万美元开了UBUNTU的公司，可是他自己的身价却是十几亿美元，全人类前三名太空游客之一。

所以如果真要他自己掏腰包填这窟窿反而是好事了。

他是靠做商业SSL发家的，公司卖给了Verisign以后钱包就非常鼓了，还自己掏钱上太空旅游了一回...不知道他运气好不好，是真的看到蓝色星球了还是看到一堆云彩...上次我们公司的几个Linux guru碰到他，大家一起出去喝啤酒，喝完了他很豪爽地要买单，但俺那些同事们不同意，还是大家AA了。人穷志不短嘛。:)

严肃滴说，个人掏腰包不能长久，还是能尽早进入一个商业化的良性循环才好。希望Ubuntu能比RH做得更好。

上花:)

瞧瞧人家姓什么，shuttleworth，注定了就是要有坐飞船又有钱的。

26岁那年把自己22岁的时候创建的公司卖了5亿美元。好像正好是IT泡沫破碎之前卖掉的。

一个开源软件,通常都有N个开发者.而这N个开发者可能相互之间从来没见过,完全只是因为技术上的原因走到了一起,其政见,宗教信仰等等可能是完全不一样甚至冲突的.某人在大陆为解放军服务,某人也许就在台湾为国军服务.所以所有开发者联合起来往软件里添加后门的可能性很小.比如,GCC编译器的开发者中有国防科大的博士,也有加州大学伯克利分校的人,你如何想办法说服这些人全部同意为FBI服务呢?

而且,软件写好以后,并不是只有开发者才看源代码,有些人要在开源软件上做二次开发,他们也会发现源代码里的后门.我自己就看过LINUX内核和其它几个软件的代码.我相信全世界绝对不止我1个人看过那几个软件的代码.如果真有后门的话,我们这些看过源代码的人中间总会有某个人发布PATCH的.

而发行版的软件包,就更不可能添加后门了.举个简单的例子,我用的是ARCHLINUX发行版.ARCHLINUX发行版的软件包是这样出来的:

有一个PKGBUILD脚本,然后根据这个PKGBUILD脚本,自动去软件源代码网站下载源代码,解压缩源码,编译源码,把生成的可执行文件等东西打包成软件包.

而ARCHLINUX不仅仅提供了最终的软件包,也提供了PKGBUILD文件,因为保不准哪个多事之人就会觉得ARCHLINUX提供的最终软件包不合他意.那么这个人就可以自己修改PKGBUILD文件,以编译符合自己要求的软件包.如果在生成软件包的过程中加入了后门,那PKGBUILD文件里一眼就可以看出问题来.

而GENTOO等发行版制作软件包的原理与此类似,GENTOO提供的是EBUILD文件.

另,与WINDOWS用户不一样的是,LINUX用户通常不以ROOT身份登录.这样,就算有木马,也只能影响某一个用户,而不会影响整个系统.

用过DEBIAN,但...我可能有洁癖...

所以改用LFS了一段时间~

最后选择了ARCHLINUX~

不过UBUNTU的软件仓库与DEBIAN好像不是完全兼容的吧.

公司用RHEL的很多，主要是支持，Debian机构和服务器厂商等用的很多。

LFS/Gentoo前两年势头很猛，不过现在都消退了。不过作为学习用途，绝对很好。Debian也可以采用源码自动编译形式，97年我第一次接触的时候，就是deselect自动进行编译，在我的奔腾120上足足编译了一两天。不过现在证明源码安装方式一般来说，没有什么特殊的性能上的优点（这个是Debian的开发员经过一些测试后说的）。当然你可以调整一下GCC开关。不过一般Debian的二进制包都会打开 O2 一类对性能最大的选项。

UBUNTU确实和Debian最近分歧比较大，两家人在吵架。不过目前也没有看到什么非常必须的包ubuntu有而debian没有的：）