Les raisons pour lesquelles Linux est réputé avoir une bonne sécurité informatique sont diverses et dépendent également du domaine d'utilisation.
Ainsi, sur le poste de travail, Linux bénéficie d'une stricte séparation des privilèges, ce qui dans la pratique n'est souvent pas utilisé avec des systèmes concurrents. Une des conséquences est qu'un ver ou virus informatique ne peut accéder qu'à une partie des ressources et fonctionnalités d'un système Linux, mais ni aux données importantes du système, ni aux données d'éventuels autres utilisateurs.
Par comparaison avec d'autres systèmes grand-public, Linux, et avant lui Unix, s'est propagé d'abord parmi des gens possédant un solide bagage technique et sensibles aux problèmes de sécurité informatique. Le développement de Linux s'est, par conséquent, déroulé dans un contexte où la sécurité était une question critique, comme en témoigne le nombre de logiciels de qualité dans ce domaine qui sont libres et originaires du monde Linux/Unix.
Dans le domaine des serveurs, le degré de sécurité dépend, par comparaison, avant tout du degré d'expérience qu'a l'administrateur système. Là, Linux marque des points grâce à sa liberté d'utilisation, qui permet sans risque et sans surcoût de tester abondamment divers scénarios sur d'autres ordinateurs, et d'y acquérir ainsi une expérience utile.
Il existe une série de distributions spécifiquement axées sur la sécurité, et des initiatives telles que SELinux de la National Security Agency pour atteindre des niveaux de protection toujours plus hauts. Mais aussi, une série de distribution axée sur l'anti-sécurité, comme Damn Vulnerable Linux, pour sensibiliser les experts et les aspirants, aux problématiques de sécurité sur ce système d'exploitation.
Un autre argument avancé est la variété des plates-formes matérielles supportées, ainsi que les solutions logicielles. Une faille de sécurité touchant le plus populaire client email ne touchera qu'une fraction des linuxiens ; par contraste, une faille touchant Outlook Express peut toucher d'un coup une proportion énorme des utilisateurs de Windows. Cette thèse est développée dans un rapport écrit par des sommités du domaine comme Bruce Schneier pour le compte de la CCIA et reprise par la société Gartner dans un document. Une partie est traduisible ainsi :
« La plupart des ordinateurs tournent sous Microsoft™, et, par conséquent, la plupart des ordinateurs du monde sont vulnérables aux mêmes virus et aux mêmes vers au même moment. Le seul moyen d'éviter cela est d'éviter la monoculture logicielle dans le domaine des systèmes d'exploitation pour les mêmes raisons raisonnables et évidentes pour lesquelles on évite la monoculture en matière d'agriculture. Microsoft exacerbe ce problème via une panoplie de pratiques visant à verrouiller ses utilisateurs à sa plate-forme. L'impact sur la sécurité de ce verrouillage est réel et représente une menace pour la société. »
Enfin, le fait que Linux et nombre de logiciels tournant sous Linux soient des logiciels libres permet que son code source soit étudié d'un œil critique par quiconque désirant le faire, que ce soit pour effectuer des adaptations, dans un cadre éducatif, pour répondre aux intérêts privés d'une entreprise/institution ou par simple intérêt personnel. En relation avec cela, on entend souvent l'argument que les failles de sécurité sont corrigées plus rapidement, affirmation approuvée et réfutée par diverses études, en fonction généralement de leur source de financement. Enfin, la liberté des logiciels rend inutile le recours au piratage informatique, aux cracks ou autres sites warez très populaires parmi les adeptes des autres systèmes d'exploitation, et qui constituent un vecteur d'infection des ordinateurs.
Reste que Linux n'est pas totalement insensible aux problèmes de sécurité, comme l'a montré le ver Slapper en septembre 2002, premier du genre à toucher un nombre notable d'ordinateurs sous Linux, avant tout des serveurs web tournant sous Apache (6000 à l'apogée du ver).
Gestion numérique des droits
La gestion numérique des droits (DRM) concerne le domaine du multimédia, et notamment la musique et les vidéos qui peuvent être achetées sur Internet. Certaines œuvres sont protégées par des verrous numériques, visant à contrôler l'utilisation de l'œuvre, par exemple en limitant le nombre d'écoutes ou de copies possibles. Ces DRM nécessitent l'emploi d'une technologie particulière, qui est la propriété exclusive du fabricant et vendeur desdits DRM, ce qui explique que la lecture d'une œuvre protégée se trouve liée à l'utilisation d'un programme spécifique. Les deux plus grand fabricants de systèmes de gestion des droits digitaux, Microsoft et Apple, conditionnent l'usage des œuvres protégées par leurs systèmes à l'utilisation respective de Windows Media Player, et de iTunes. Ces sociétés vendant leur propre système d'exploitation, elles ne souhaitent pas proposer de version de leurs programmes pour Linux. Ainsi, il n'est souvent pas possible pour les utilisateurs de Linux d'acheter en ligne de la musique sur un site de téléchargement payant, ou d'écouter de la musique déjà achetée et téléchargée.
Il existe aussi des DRM sur les CD audio, mais ceux-ci sont beaucoup moins standardisés et moins courants. La plupart sont conçus pour fonctionner avec les systèmes d'exploitation de Microsoft et sont donc susceptibles d'être totalement inefficace pour un utilisateur de Linux.
Il ne s'agit pas de limitations techniques, puisque des systèmes de gestion libres existent . Voir aussi Linus Torvalds, selon lequel Linux et la gestion des droits ne sont pas incompatibles.
Critiques
Brad Spengler développeur chez grsecurity accuse Linux de parfois centrer ses efforts sur les fonctionnalités aux détriments de la sécurité. Il prétend que Linus Torvalds lui aurait dit ne pas être intéressé par l'ajout d'options de sécurité utiles pour éviter des débordements de tampon, car cela ralentirait le chargement des applications.
Il reproche l'absence d'une personne chargée officiellement de la sécurité, avec qui il serait possible de communiquer en privé en toute sécurité. À la place la seule solution est d'envoyer un e-mail sur une liste de diffusion relative aux questions de sécurité où les failles découvertes sont parfois utilisées à des fins malicieuses avant qu'une mise à jour de sécurité ne soit diffusée, alors que les usagers de Linux ne sont pas au courant de l'existence de cette faille..
Enfin il remet en cause l'implantation du système LSM depuis la version 2.6 du noyau qui aurait été implanté par laxisme et qui faciliterait l'insertion de rootkits invisibles au sein du système en les faisant passer pour des modules de sécurité. D'autres développeurs du noyau reprochent à ce système de consommer des ressources non négligeables et de permettre le détournement de la licence GPL du noyau en y implémentant des composantes propriétaires.
