专家吐槽Ubuntu集成Amazon搜索功能

一个成功的Linux版本包括很多要素，但最最重要是还是信任。在建立一个生产Linux系统之前，你必须相信该版本不会包含恶意代码或后门程序或其他任何潜在的问题。

很少会发生有后门程序或间谍软件入侵某Linux版本的情形，因为开源社区的本质就是迅速发现并修复问题。本文中，InfoWorld作者Paul Venezia吐槽的是隐蔽活动，这个无关版本，但会潜入开源并注入邪恶代码。

以下是他的吐槽：

如果有专门这样做的版本怎么办?如果某个流行的成功的Linux版本要发行新版，其包含的信息向第三方暴露了用户的私人信息，并同时宣称这不是问题，怎么办?

Canonical就这样做了。

最新的Ubuntu 12.10测试版包括一个新功能，在结合了Amazon搜索的Unity Dash中。这听起来很奇怪，但意在对用户无害，甚至能帮助用户，还能为Ubuntu带来中介收入。本质上，通过Dash执行搜索，新的窗口部件为搜索结果增加了更多More Suggestions，这些都是通过搜索Amazon.com广泛的在线购物目录收集到的信息。

就是说，如果你搜索想要购买某款MP3，可能会从本地系统匹配，也能从亚马逊那匹配，比如提供同个MP3的购买链接。虽然每个文件系统搜索都需要查询亚马逊看起来可疑但无害。毕竟只是搜索嘛，Canonical也说代理了所有搜索，因此亚马逊不能链接到具体用户或IP地址。似乎真无害。

问题在于其糟糕的设计与执行。Etienne Perot分析了细节，我在此总结一下。

当你使用Dash这个新功能时，你的查询条目发送到由Canonical运行的服务器上，然后将搜索代理到亚马逊，再返回结果。然而，这期间的通信都没有加密，查询都易见。

此外，Ubuntu创始人Mark Shuttleworth就此事发表看法也让人摸不着头脑：我们没有告诉亚马逊搜索了什么。你的匿名受到保护，因为我们以你的利益处理查询。虽然这份申明后半部分是真的，前半部分可不真。很明显他们将你的查询条目传送到亚马逊，他们只是掩盖了原始IP地址。

这本身就是个问题，因为没人想用敏感私人信息去亚马逊上搜索。例如，有人想用社保号码或特殊文本串搜索一个文件，这样的信息是不希望被其他人看见的呢。他们表面上是通过自己的本地文件系统搜索，毕竟，经搜索字符串默认下发送出去的东西被其他人看见真的很不爽。

而且，据Etienne说，虽然查询源IP地址经过代理，新功能直接去亚马逊下载缩略图并显示结果。这使得与源IP地址对比更琐碎，因为你做的每一次搜索都要经过Unity Dash。

随着这样的混乱开始升级，Ubuntu开始着手解决。有种方法可通过命令行卸载新功能(sudo apt-get purge unity-lens-shopping)，最近，Canonical宣布将该功能集成到privacy manager中，允许用户在GUI中禁止该功能，但这似乎也存在风险。

但眼下的事实是，Canonical打算在下个版本中抛弃这个考虑不周的功能。

开源社区曾经也有版本变化多，甚至核心开源包营养不良的时代。我不认为集成亚马逊搜索在线会对Ubuntu带来多大影响，但这绝对会让关注隐私的用户考虑其他产品。

这会给Ubuntu漂亮的记录蒙上污点撒。对于此次事件我还有个大问题，来自Shuttleworth的评论：不信任我们?我们有基础啊。你都放心将数据交给我们了。这种狂妄来自Ubuntu创始人。如果这种错误理念还出现在下个Ubuntu版本中，叫我们如何信任它?

好吧，Shuttleworth先生，你有基础，但我可没用你的产品，以后也不会再用。