लिनक्स अवलोकन

लिनक्स आपको एक ऐसा कंप्यूटर देता है जिसे आप नियंत्रित करते हैं। आप वितरण चुनते हैं, कोई भी आपको किसी विक्रेता खाते में साइन इन करने के लिए मजबूर नहीं करता है, और कोई भी स्रोत कोड (source code) पढ़ सकता है। जो यह आपको नहीं देता है वह एक ऐसा सिस्टम है जो अपने आप में सुरक्षित है, और इसके कमजोर बिंदु विंडोज (Windows) या मैकओएस (macOS) से भिन्न हैं।

यह पृष्ठ डेस्कटॉप और लैपटॉप लिनक्स के बारे में है: उबंटू (Ubuntu), फेडोरा (Fedora) और डेबियन (Debian) जैसे वितरण जिन्हें आप कंप्यूटर पर इंस्टॉल करते हैं। एंड्रॉइड (Android), क्रोमओएस (ChromeOS) और क्यूब्स ओएस (Qubes OS) भी लिनक्स कर्नल का उपयोग करते हैं लेकिन अलग तरह से काम करते हैं, और हम उन्हें कवर नहीं करते हैं। संस्करणों और तिथियों के बारे में तथ्य अक्टूबर 2026 तक के हैं।

पढ़ने के बाद आप जान पाएंगे कि डिफ़ॉल्ट रूप से लिनक्स डेस्कटॉप की रक्षा क्या करती है और क्या नहीं। आप यह भी जान पाएंगे कि कौन से चार विकल्प आपके जोखिम को सबसे अधिक बदलते हैं: आप अपडेट कैसे प्राप्त करते हैं, आप सॉफ़्टवेयर कहाँ से प्राप्त करते हैं, क्या डिस्क एन्क्रिप्टेड है, और ऐप्स को कैसे सीमित (confined) किया जाता है।

सरल शब्दों में लिनक्स क्या है

सख्ती से कहें तो, लिनक्स कर्नल (kernel) है—वह मुख्य प्रोग्राम जो आपके हार्डवेयर से बात करता है। एक वितरण उस कर्नल को एक डेस्कटॉप, एक पैकेज मैनेजर (सॉफ़्टवेयर इंस्टॉल और अद्यतन करने वाला टूल) और डिफ़ॉल्ट विकल्पों के एक सेट के साथ बंडल करता है। जब लोग कहते हैं कि वे लिनक्स चलाते हैं, तो उनका मतलब एक वितरण होता है, और वितरण ही आपकी अधिकांश सुरक्षा तय करता है।

दो लोगों का उदाहरण लें जो दोनों कहते हैं कि वे लिनक्स चलाते हैं। एक ने अप्रैल 2026 में रिलीज़ हुए Ubuntu 26.04 LTS को इंस्टॉल किया, और वितरण द्वारा बनाए रखे जाने वाले रिपॉजिटरी से सॉफ़्टवेयर लेता है। दूसरा आर्क लिनक्स (Arch Linux) चलाता है और आर्क यूज़र रिपॉजिटरी (AUR) से ऐप इंस्टॉल करता है, जो कि इंस्टाल व्यंजनों का एक संग्रह है जिसे कोई भी सबमिट कर सकता है। जून 2026 में, इनमें से 400 से अधिक व्यंजनों में एक रूटकिट और एक क्रेडेंशियल-चोरी करने वाला प्रोग्राम इंस्टॉल करने के लिए संशोधन पाया गया। दोनों लोगों के पास एक ही कर्नल है लेकिन जोखिम का स्तर बहुत अलग है।

लिनक्स सुरक्षा कैसे काम करती है

खाते, और आपके ऐप्स के बीच कोई दीवार नहीं

लिनक्स उपयोगकर्ताओं को अलग रखता है और सिस्टम फ़ाइलों को एक प्रशासक (root) पासवर्ड के पीछे रखता है। डिफ़ॉल्ट रूप से यह आपके द्वारा अपने रूप में चलाए जाने वाले प्रोग्रामों को एक-दूसरे से अलग नहीं करता है। आपके खाते से शुरू किया गया प्रोग्राम वह सब पढ़ सकता है जो आपका खाता पढ़ सकता है: आपके दस्तावेज़, आपकी ब्राउज़र प्रोफ़ाइल, आपकी SSH कुंजियाँ। फ्लैटपैक (Flatpak) के अपने डिज़ाइन नोट्स अनुप्रयोगों को एक-दूसरे से अलग करने को इसके मुख्य लक्ष्यों में से एक बताते हैं, जो आपको बताता है कि डिफ़ॉल्ट स्थिति कहाँ है। नीचे दी गई अधिकांश सुरक्षाएं वहाँ दीवारें जोड़ने के लिए मौजूद हैं जहाँ इस मॉडल में कोई दीवार नहीं है।

अपडेट आपके वितरण से आते हैं

सॉफ़्टवेयर आपके वितरण के पैकेज मैनेजर के माध्यम से आता है, और वितरण यह तय करता है कि प्रत्येक रिलीज़ को कितने समय तक बनाए रखा जाए। उबंटू LTS रिलीज़ को पांच साल का मानक सुरक्षा रखरखाव मिलता है, और Ubuntu 26.04 LTS मई 2031 तक कवर किया गया है। उबंटू प्रो (एक सदस्यता) मई 2036 तक कवरेज का विस्तार करती है। अन्य वितरण अपनी खुद की तिथियां प्रकाशित करते हैं। पहले अपनी जांच करें, क्योंकि अपनी अंतिम तिथि के बाद की रिलीज़ सुधार प्राप्त करना बंद कर देती है।

कर्नल को बहुत सारे सुधार मिलते हैं। कर्नल टीम फरवरी 2024 में अपना स्वयं का CVE नंबरिंग अथॉरिटी (CVE सुरक्षा कमियों की आईडी जारी करने वाली संस्था) बन गई, और इसकी नीति सुरक्षा के लिए मायने रखने वाले लगभग किसी भी बग फिक्स को CVE सौंपने की है। कर्नल डेवलपर ग्रेग क्रोह-हार्टमैन ने दिसंबर 2025 में लिखा था कि यह प्रोजेक्ट 2024 में CVE जारीकर्ताओं में नंबर 3 से बढ़कर 2025 में नंबर 1 पर आ गया था, और इसने 2025 के अंत तक अपना 10,000वां CVE सौंपा था। इसे इस बात के माप के रूप में पढ़ें कि कितना ठीक किया जाता है, न कि इस प्रमाण के रूप में कि लिनक्स अन्य प्रणालियों से बदतर है। इसका मतलब यह है कि अपडेट अक्सर आते हैं, और आपको उन्हें इंस्टॉल करने की आवश्यकता है।

लैपटॉप और डेस्कटॉप के लिए फर्मवेयर अपडेट आमतौर पर fwupd और लिनक्स वेंडर फर्मवेयर सर्विस (LVFS) के माध्यम से आते हैं। हर हार्डवेयर विक्रेता वहाँ प्रकाशित नहीं करता है, जो नीचे दिए गए सिक्योर बूट बदलाव के लिए मायने रखता है।

नियंत्रण: एक्सेस कंट्रोल, फ्लैटपैक और स्नैप्स

अनिवार्य पहुँच नियंत्रण (Mandatory access control) कर्नल-लागू नियमों का एक समूह है जो सीमित करता है कि एक प्रोग्राम आपके रूप में चलने पर भी क्या छू सकता है। फेडोरा डिफ़ॉल्ट रूप से SELinux का उपयोग करता है, और उबंटू व डेबियन AppArmor का उपयोग करते हैं। उबंटू का कहना है कि स्नैप (snap) पैकेजों के लिए प्रति-ऐप अनुमति प्रॉम्प्टिंग अभी भी प्रयोगात्मक है और 26.04 LTS में डिफ़ॉल्ट रूप से चालू नहीं है, इसलिए यह न मानें कि ये ढाँचे आपके द्वारा चलाए जाने वाले हर ऐप को बाड़ (fence) में रखते हैं।

फ्लैटपैक (Flatpak) और स्नैप (snap) ऐप्स को सैंडबॉक्स में चलाते हैं। फ्लैटपैक का दस्तावेज़ीकरण डिफ़ॉल्ट सैंडबॉक्स का वर्णन करता है कि इसमें बाहर की प्रक्रियाओं तक कोई पहुँच नहीं है और X11, सिस्टम D-Bus या PulseAudio जैसी होस्ट सेवाओं तक कोई पहुँच नहीं है। लेकिन प्रत्येक ऐप का मेनिफेस्ट उस पहुँच का अनुरोध कर सकता है, और फ्लैटपैक के प्रमुख डेवलपर ने नोट किया है कि एक इंस्टॉल किए गए ऐप को वे अनुमतियां मिलती हैं जिनके लिए उसने अनुरोध किया था, जब तक कि आप उन्हें ओवरराइड न करें। आपके पूरे होम फ़ोल्डर या X11 तक पहुँच वाला फ्लैटपैक ऐप लेबल के सुझाव की तुलना में बहुत कम सीमित होता है। सैंडबॉक्स केवल उतना ही मजबूत होता है जितना कि ऐप द्वारा मांगी गई अनुमतियां।

डिस्प्ले सर्वर: X11 और वेलैंड (Wayland)

डिस्प्ले सर्वर विंडो बनाता है और आपके कीबोर्ड व माउस को रूट करता है। लंबे समय से चले आ रहे डिज़ाइन X11 के तहत, फ्लैटपैक के प्रमुख डेवलपर ने 2017 में लिखा था कि आप कई दुर्भावनापूर्ण काम करने के लिए आसानी से इस प्रोटोकॉल का उपयोग कर सकते हैं, और अन्य लेखक X11 के तहत कीलॉगिंग (keylogging) को बहुत आसान बताते हैं। वेलैंड (Wayland), इसका प्रतिस्थापन, इस तरह बनाया गया है कि ऐप्स केवल अपनी खुद की विंडो के लिए इनपुट देखते हैं। अक्टूबर 2026 तक, Ubuntu 26.04 LTS केवल-वेलैंड डिफ़ॉल्ट GNOME सत्र के साथ आता है। वेलैंड यह सीमित नहीं करता है कि आपके रूप में चलने वाला एक दुर्भावनापूर्ण प्रोग्राम आपकी फ़ाइलों के साथ क्या कर सकता है, इसलिए यह सैंडबॉक्सिंग का पूरक है और इसे प्रतिस्थापित नहीं करता है।

सिक्योर बूट और 2026 का प्रमाणपत्र परिवर्तन

सिक्योर बूट (Secure Boot) कंप्यूटर के फर्मवेयर को उस बूट कोड को शुरू करने से मना करने के लिए मजबूर करता है जिस पर किसी विश्वसनीय कुंजी द्वारा हस्ताक्षर नहीं किए गए हैं। अधिकांश पीसी पर, लिनक्स शिम (shim) नामक एक छोटे प्रोग्राम के माध्यम से शुरू होता है। माइक्रोसॉफ्ट शिम पर हस्ताक्षर करता है, और शिम फिर वितरण के अपने बूटलोडर और कर्नल को लोड करता है, जिस पर वितरण स्वयं हस्ताक्षर करता है।

माइक्रोसॉफ्ट प्रमाणपत्र जो शिम (Microsoft UEFI CA 2011) पर हस्ताक्षर करता है, 26 या 27 जून 2026 को समाप्त हो गया। इसका प्रतिस्थापन 2038 तक मान्य है। LWN ने 1 जुलाई 2026 को रिपोर्ट दी कि जो सिस्टम पहले से बूट होते हैं वे बूट होते रहेंगे, क्योंकि फर्मवेयर आमतौर पर समाप्ति तिथियों को अनदेखा करता है। एक सिस्टम बूट होने में विफल हो सकता है यदि उसके फर्मवेयर में 2023 का प्रमाणपत्र नहीं है और उसे केवल इसके साथ हस्ताक्षरित एक नया शिम प्राप्त होता है। fwupd और LVFS के माध्यम से दिए गए फर्मवेयर अपडेट नया प्रमाणपत्र जोड़ सकते हैं। लेख के लेखक, जो माइक्रोसॉफ्ट में इस बदलाव पर काम करते हैं, चेतावनी देते हैं कि जबरन किए गए अपडेट ने कुछ मशीनों को अनबूट करने योग्य बना दिया है, जिनमें से कुछ स्थायी रूप से खराब हो गई हैं। एक अनुरक्षित वितरण और अनुरक्षित हार्डवेयर पर अधिकांश लोगों के लिए, वितरण इसे संभालता है। जोखिम में वे मशीनें हैं जिनके विक्रेता ने फर्मवेयर अपडेट प्रकाशित करना बंद कर दिया है।

डिस्क एन्क्रिप्शन

फुल-डिस्क एन्क्रिप्शन आपके डेटा की सुरक्षा करता है यदि संचालित बंद (powered off) होने के दौरान लैपटॉप खो जाता है या चोरी हो जाता है। यह चालू, अनलॉक किए गए सिस्टम पर मैलवेयर के खिलाफ कुछ नहीं करता है। Ubuntu 26.04 LTS ने TPM-समर्थित फुल-डिस्क एन्क्रिप्शन को एक समर्थित सुविधा बनाया। कुंजी को बूट के समय टाइप किए जाने के बजाय कंप्यूटर की सुरक्षा चिप द्वारा रखा जाता है। विहित (Canonical) का कहना है कि इसने फर्मवेयर अपडेट के आसपास रिकवरी-कुंजी हैंडलिंग में सुधार किया है और कुछ ज्ञात असंगतियों को प्रलेखित किया है। स्वचालित अनलॉकिंग के साथ, चोर और आपकी लॉगिन स्क्रीन के बीच कोई डिस्क पासफ़्रेज़ नहीं खड़ा होता है, इसलिए आपका लॉगिन पासवर्ड अधिक वजन रखता है। एक थर्ड-पार्टी गाइड कहती है कि इंस्टॉलेशन के बाद एक स्टार्टअप पिन सेट किया जा सकता है।

अपरिवर्तनीय वितरण (Immutable distributions)

कुछ वितरण, जैसे कि Fedora Silverblue, कोर सिस्टम फ़ाइलों को केवल-पढ़ने योग्य (read-only) रखते हैं। फेडोरा मैगज़ीन इसे कोर फ़ाइलों को मनमाने ढंग से बदलने से रोकने के रूप में वर्णित करती है, जिसमें फ्लैटपैक के माध्यम से इंस्टॉल किए गए डेस्कटॉप ऐप्स और पारंपरिक पैकेज इंस्टाल कंटेनरों तक सीमित होते हैं। अपडेट एक पूरे के रूप में लागू होते हैं और उन्हें रोल बैक किया जा सकता है। इसका पेंच काम करने का एक अलग तरीका है: कुछ परिचित कदम, जैसे सिस्टम पैकेज इंस्टॉल करना, अब उस तरह से व्यवहार नहीं करते जैसे पुराने गाइड बताते हैं।

यह किससे सुरक्षा करता है, और किससे नहीं

दो सीमाएं तालिका से बाहर हैं। ओपन-सोर्स कोड कोई भी पढ़ सकता है, लेकिन इसका मतलब यह नहीं है कि किसी ने इसे जांचा है। और आप अपने वितरण के अनुरक्षकों (maintainers) और उनके द्वारा भेजे जाने वाले पैकेजों पर भरोसा कर रहे हैं, ठीक उसी तरह जैसे आप कहीं और किसी विक्रेता पर भरोसा करते हैं।

आम मिथक

“लिनक्स में मैलवेयर नहीं आता।” यह आता है। जून 2026 में, हमलावरों ने एक दुर्भावनापूर्ण npm पैकेज डाउनलोड करने के लिए 400 से अधिक AUR पैकेजों को संशोधित किया, जिसने एक रूटकिट और एक इन्फोस्टीलर इंस्टॉल किया। अनाथ पैकेजों के लिए दुर्भावनापूर्ण कमिट की दूसरी लहर के बाद आर्क ने 30 जुलाई 2026 को AUR पैकेज अपनाने को अक्षम कर दिया। जून की संख्या की शुरुआती रिपोर्ट अलग-अलग हैं, और बाद का एक विवरण इसे 1,500 से ऊपर रखता है।

“ओपन सोर्स का मतलब है कि किसी ने इसे जांचा है।” xz बैकडोर (CVE-2024-3094) इस अंतर को दिखाता है। एक अभिनेता ने xz कम्प्रेशन प्रोजेक्ट में अनुरक्षक स्थिति प्राप्त करने में लगभग दो साल बिताए, फिर 5.6.0 और 5.6.1 संस्करणों में एक छिपा हुआ बैकडोर डाल दिया जो SSH के माध्यम से रिमोट एक्सेस की अनुमति दे सकता था। इंजीनियर एंड्रेस फ्रायंड ने मार्च 2024 में इसकी खोज की। यह फेडोरा, डेबियन, काली और ओपनसुसे के विकास और रोलिंग रिलीज़ तक पहुँच गया, और कास्परस्की ने कहा कि उसे इसके शोषण का कोई मामला नहीं मिला था। इसे पकड़ा गया, जो अच्छा है। इसे पकड़ने की योजना किसी ने नहीं बनाई थी।

“एक फ्लैटपैक या स्नैप सैंडबॉक्स्ड है, इसलिए यह सुरक्षित है।” केवल अपनी अनुमतियों की सीमा तक। जो ऐप आपके होम फ़ोल्डर की मांग करता है वह आपके होम फ़ोल्डर को पढ़ सकता है।

क्या करें

1. एक समर्थित रिलीज़ चुनें और स्वचालित अपडेट चालू करें। अपने वितरण की सहायता-समाप्ति तिथि देखें, और अपडेट को अपने आप इंस्टॉल होने के लिए सेट करें। यह उस खतरे को कवर करता है जो सबसे अधिक लोगों को प्रभावित करता है, और यह सबसे आसान कदम है।
2. सॉफ़्टवेयर कहाँ से आता है, इसके बारे में सख्त रहें। पहले अपने वितरण की आधिकारिक रिपॉजिटरी का उपयोग करें, फिर फ्लैटपैक या स्नैप का। AUR जैसे सामुदायिक रिपॉजिटरी और वेब से ली गई स्क्रिप्ट्स को अजनबियों द्वारा लिखे गए कोड की तरह समझें। 2024 और 2026 दोनों घटनाएं उसी तरह के चैनल से आई थीं।
3. इंस्टॉलेशन के दौरान डिस्क को एन्क्रिप्ट करें। इंस्टॉल के समय चुनना सबसे आसान है। रिकवरी कुंजी को लैपटॉप के अलावा कहीं और स्टोर करें, और तय करें कि आप एक स्टार्टअप पिन चाहते हैं या स्वचालित अनलॉकिंग।
4. फर्मवेयर को अद्यतन (updated) रखें और सिक्योर बूट को चालू रखें। fwupd या अपने वितरण के फर्मवेयर अद्यतनकर्ता को सक्षम करें, और 2026 के प्रमाणपत्र परिवर्तन के कारण बड़े अपग्रेड से पहले अपने वितरण के नोट्स पढ़ें। यदि आपके विक्रेता ने फर्मवेयर अपडेट जारी करना बंद कर दिया है, तो अधिक घर्षण की अपेक्षा करें और इसके लिए योजना बनाएं।
5. ऐप अनुमतियों की जांच करें और वेलैंड सत्र को प्राथमिकता दें। फ्लैटपैक ऐप्स के लिए, देखें कि प्रत्येक क्या मांगता है और पूरे होम फ़ोल्डर जैसे व्यापक एक्सेस को ओवरराइड करें जहाँ ऐप इसके बिना भी काम करता है।
6. यदि आप रोलबैक चाहते हैं तो एक अपरिवर्तनीय (immutable) वितरण पर विचार करें। यह उन लोगों के लिए उपयुक्त है जो मुख्य रूप से ब्राउज़र और डेस्कटॉप ऐप्स का उपयोग करते हैं, और यदि आप सिस्टम पैकेजों को इंस्टॉल करने पर निर्भर करते हैं तो यह कम उपयुक्त बैठता है।

यदि आप अनिश्चित हैं कि इसमें से कितना आपके लिए मायने रखता है, तो थ्रेट मॉडलिंग (threat modeling) से शुरुआत करें। लिनक्स की तुलना फ़ोन ऑपरेटिंग सिस्टम से कैसे होती है, इसके लिए iOS अवलोकन (iOS overview) देखें।

यह पृष्ठ क्या कवर नहीं करता है

हमने लिनक्स सर्वर और कंटेनर, टेल्स (Tails), व्होनिक्स (Whonix) और क्यूब्स ओएस (Qubes OS) जैसी गोपनीयता-केंद्रित प्रणालियों, कर्नल और बूट-पैरामीटर सख्त बनाने (hardening), मैक एड्रेस रैंडमाइजेशन जैसे प्राइवेसी ट्वीक्स, या हार्डवेयर व गेमिंग संगतता को कवर नहीं किया है। हमने अलग-अलग वितरणों की तुलना भी नहीं की है। प्रत्येक अपने स्वयं के पृष्ठ का हकदार है।

स्रोत (Sources)

• Linux CVEs, more than you ever wanted to know. Greg Kroah-Hartman, Linux Kernel Monkey Log, दिसंबर 2025.
• Kernel CNA statistics post (10,000th CVE). Greg Kroah-Hartman, social.kernel.org, 2025.
• Linux Kernel Project Becomes CVE Numbering Authority. ADMIN Magazine, फरवरी 2024.
• Secure Boot certificate expiration is here. Brian Exelbierd, LWN.net, 1 जुलाई 2026.
• What’s new in security for Ubuntu 26.04 LTS?. Canonical, 10 अप्रैल 2026.
• Ubuntu release cycle. Canonical, 2026.
• Ubuntu 26.04 LTS: Best New Features. DebugPoint, 2026.
• Ubuntu 26.04 LTS Resolute Raccoon: A Complete Guide to What’s New. Serverspace, 2026.
• Sandbox Permissions. Flatpak दस्तावेज़ीकरण, अनदिनांकित.
• The flatpak security model, part 2: Who needs sandboxing anyway?. Alexander Larsson, GNOME Blogs, 2017.
• GNOME 50: Wayland-Only Brings Enhanced Security and Isolation. LinuxSecurity.com, अनदिनांकित.
• AppArmor vs. SELinux: Comprehensive Comparison. phoenixNAP, अनदिनांकित.
• Fedora Silverblue, an introduction for developers. Fedora Magazine, अनदिनांकित.
• How to find systems impacted by CVE-2024-3094 (XZ Utils). runZero, 2024.
• Malicious code discovered in Linux distributions. Kaspersky, 2024.
• Malicious maintainer introduces sophisticated backdoor in xz. CNCF TAG Security, 2024.
• Over 400 Arch Linux packages compromised to push rootkit, infostealer. BleepingComputer, 12 जून 2026.
• Arch Linux AUR Malware Campaign Halts Package Adoption and Pushes. Hexnode, 3 अगस्त 2026.
• How to Use the AUR Safely: Lessons from the June 2026 AUR Malware Attack. OSTechNix, 2026.

संबंधित पृष्ठ (Related pages)

• थ्रेट मॉडलिंग (Threat modeling)
• iOS अवलोकन (iOS overview)
• डिजिटल सुरक्षा (Digital security)