据ZDNet报道，openSUSE Leap将从16.1版开始加入不可变模式，使这一稳定版发行版在安装时即可选择只读根文件系统与事务性更新，并支持简便回滚。ZDNet称，openSUSE此前已经包含大量安全功能，新增不可变模式应使其成为市场上更安全的Linux发行版之一。

openSUSE官方博客称，Leap 16.1是首个提供不可变模式的Leap版本，这是一个事务性更新、根文件系统只读的系统。博客称，这基本上就是用户从Leap Micro所了解的内容，只是直接集成到了Leap中。Leap Micro是面向容器化工作负载、边缘计算和虚拟化环境的轻量、不可变、固定发布操作系统；Leap则是桌面操作系统。官方博客还称，Leap不可变模式是容器和虚拟机主机、边缘设备以及偏好原子更新和简便回滚的用户的前进方向。

不可变模式可以在安装过程中切换，用户可以选择使用标准版openSUSE Leap或不可变版。选择不可变版后，根文件系统以只读方式挂载，/usr和/etc等目录无法被修改。ZDNet解释，如果有人在不可变系统上误运行恶意脚本，该脚本无法改动这些不可变目录。ZDNet认为，这是重要的安全改进，也是Linux的未来方向。

不可变模式并非openSUSE Leap新增的唯一安全特性。据ZDNet报道，截至15.6版，openSUSE使用AppArmor作为强制访问控制安全功能，以限制程序可访问的系统资源、文件和目录。从16.0版开始，openSUSE改用SELinux。SELinux由美国国家安全局与Red Hat等开源组织合作创建，会为系统中的每个文件、进程和端口打上标签，遵循最小权限规则阻止不允许的操作，并要求root用户也遵守这些规则。

openSUSE还使用firewalld作为动态防火墙管理系统。ZDNet称，firewalld包含区域即预定义信任级别、运行时更改与永久更改，以及命令行工具firewall-cmd和图形界面工具firewall-config。openSUSE对firewalld的实现与多数基于Fedora的发行版类似，被认为属于较强的防火墙实现之一。

openSUSE还包含二进制加固。ZDNet介绍，二进制加固是在软件编译期间使用默认安全标志和编译器选项，使可执行文件和库更能抵御缓冲区溢出、内存破坏等漏洞利用。关键加固措施包括位置无关可执行文件，允许二进制文件使用随机内存地址，使攻击者更难预测基于内存攻击的目标位置，以及FORTIFY_SOURCE等。

ZDNet称，openSUSE长期是较安全的主流Linux发行版之一，在德语国家尤其受欢迎，这与其和德国公司SUSE的联系有关。随着16.1版引入不可变模式，用户可在标准安装与不可变安装之间作出选择，后者把只读根文件系统、事务性更新和回滚能力带入桌面发行版。