Релиз на Debian 10 «Buster»

След двугодишна разработка се състоя релиз Debian GNU/Linux 10.0 (Buster), наличен за десет официјално поддржани архитектури: Intel IA-32/x86 (i686), AMD64/x86-64, ARM EABI (armel), 64-битен ARM (arm64), ARMv7 (armhf), MIPS (mips, mipsel, mips64el), PowerPC 64 (ppc64el) и IBM System z (s390x). Ажурирањата за Debian 10 ќе се издаваат во текот на 5 години.

Во репозиториумот се понудени 57703 бинарни пакети, што е приближно 6 илјади повеќе отколку во Debian 9. Во однос на Debian 9, се додадени 13370 нови бинарни пакети, 7278 (13%) застарени или напуштени пакети се отстранети, а 35532 (62%) пакети се обновени. За 91.5% од пакетите осигурена поддршката на повторливи градежни заедници, овозможувајќи да се потврди дека извршниот фајл е изграден токму од изјавените изворни текстови и не содржи туѓи промени, што, на пример, може да се направи преку напад на инфраструктурата за изградба или вградување во компилаторот.

За да заредят на разположение DVD-слики, за кои може да се преземат HTTP, jigdo или BitTorrent. Исто така сформирано неофицијален инсталационен слика nonfree, која вклучува проприетарни фрлања. За архитектурите amd64 и i386 се развиени LiveUSB, достапни во варијанти со GNOME, KDE и Xfce, како и многуархитектонски DVD, кој комбинира пакети за платформата amd64 со дополнителни пакети за архитектурата i386. Додадена е поддршка за мрежно (netboot) слики за SD-картички и слика што се вклопува на 16 ГБ USB Flash;

Ключови промени во Debian 10.0:

• Реализирана поддршка за UEFI Secure Boot, за да се овозможи работа со која се ангажира загрузниот менаџер Shim, сертифициран со дигитална потпис од компанијата Microsoft (shim-signed), во комбинација со сертификацијата на јадрото и загрузниот менаџер grub (grub-efi-amd64-signed) со сопствениот сертификат на проектот (shim функционира како прослойка за користење на сопствените клучеви на дистрибуцијата). Пакетите shim-signed и grub-efi-ARCH-signed се вклучени во зависностите за изградба за amd64, i386 и arm64. Загрузниот менаџер и grub, сертифицирани со работен сертификат, се вклучени во EFI-сликите за amd64, i386 и arm64. Да потсетиме, дека првоначално поддршката за Secure Boot се очекуваше во Debian 9, но не беше успеано да се стабилизира пред објавувањето и беше одложена до следниот значителен издание на дистрибуцијата;
• По подразбиране е активирана поддръжката на системата за мандатен контрол на достъпа AppArmor, която позволява контрол на правомощията на процесите, определяйки списъци с файлове и съответните права (за четене, запис, показване в паметта и стартиране, блокиране на файл и др.) за всяко приложение, както и контрол на достъпа до мрежата (например, забрана на използването на ICMP) и управление на POSIX capabilities. Основната разлика между AppArmor и SELinux е, че SELinux работи с асоциирани с обекта етикети, докато AppArmor определя правомощията на базата на файловия път, което значително опростява процеса на настройка. В основния пакет с AppArmor се предлагат защитни профили само за някои приложения, а за останалите трябва да се използва пакетът apparmor-profiles-extra или профили от пакетите на конкретни приложения;
• На мястото на iptables, ip6tables, arptables и ebtables дойде

  пакетният филтър nftables, който сега се прилага по подразбиране и е забележителен с унифицирането на интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове. Nftables предоставя на ниво ядро само общ интерфейс, независим от конкретен протокол и предоставящ основни функции за извличане на данни от пакети, извършване на операции с данните и управление на потока. Логиката на филтриране и специфичните за протоколите обработвачи се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото с помощта на интерфейса Netlink и се изпълнява в специална виртуална машина, подобна на BPF (Berkeley Packet Filters); по подразбиране се инсталира пакетът iptables-nft, който предлага набор от инструменти за осигуряване на съвместимост с iptables, имащи същия синтаксис на командния ред, но трансформиращи получените правила в байткод nf_tables, изпълняван във виртуалната машина. Опционално, за инсталиране е достъпен пакетът iptables-legacy, включващ старата реализация на базата на x_tables. Изпълнимите файлове на iptables сега се инсталират в /usr/sbin, а не в /sbin (за съвместимост се създават символични връзки);

• Режим за песочницей е включен за APT, активиран чрез опцията APT::Sandbox::Seccomp, осигуряваща филтриране на системните повиквания с помощта на seccomp-BPF. За по-фина настройка на списъците с разрешения и забрани на системните повиквания може да се използват списъците APT::Sandbox::Seccomp::Trap и APT::Sandbox::Seccomp::Allow;
• Ядро на Linux е актуализирано до версия 4.19;
• Работният плот GNOME по подразбиране е преминал на използване на Wayland, а сесията на базата на X-сервера е предложена като опция (X-серверът все още е част от основния пакет). Актуализиран е графичният стек и потребителските среди: GNOME 3.30, KDE Plasma 5.14, Cinnamon 3.8, LXDE 0.99.2, LXQt 0.14, MATE 1.20, и Xfce 4.12. Офисният пакет LibreOffice е актуализиран до версия 6.1, а Calligra до версия 3.1. Актуализирани са Evolution 3.30, GIMP 2.10.8, Inkscape 0.92.4, Vim 8.1;
• Включен е компилатор за Rust (доставя се Rustc 1.34). Актуализирани са GCC 8.3, LLVM/Clang 7.0.1, OpenJDK 11, Perl 5.28, PHP 7.3, Python 3.7.2;
• Актуализирани са сървърните приложения, включително Apache httpd 2.4.38, BIND 9.11, Dovecot 2.3.4, Exim 4.92, Postfix 3.3.2, MariaDB 10.3, nginx 1.14, PostgreSQL 11, Samba 4.9 (ядрото осигурява поддръжка на SMBv3);
• В cryptsetup осъществен е премине към формат LUKS2 за криптиране на дисковете (предходно се използваше LUKS1). LUKS2 предлага опростена система за управление на ключовете, възможност за използване на големи сектори (4096 вместо 512, намалява натоварването при декриптиране), символни идентификатори на дяловете (label) и средства за резервно копиране на метаданни с автоматично възстановяване от копие в случай на повреда. При актуализация съществуващите дялове LUKS1 автоматично ще бъдат преобразувани в формат, съвместим с LUKS2, но поради ограниченията на размера на заглавието, не всички нови възможности ще бъдат достъпни за тях;
• Инсталаторът добави възможност за използване на няколко конзоли по време на инсталацията. Поддръжката на ReiserFS е премахната. За Btrfs е добавена поддръжка за компресия ZSTD (libzstd). Добавена е поддръжка за NVMe устройства;
• В debootstrap по подразбиране е активирана опцията «—merged-usr», при която всички изпълними файлове и библиотеки от кореновите директории се преместват в директорията /usr (директориите /bin, /sbin и /lib* са оформени като символнни връзки към съответните директории в /usr). Това изменение важи само за нови инсталации, при обновление старата структура на директориите остава;
• В пакета unattended-upgrades, освен автоматично инсталиране на обновления, свързани с отстраняване на уязвимости, сега по подразбиране е включено и обновление до междинни версии (Debian 10.1, 10.2 и т.н.);
• Компонентите на печатната система са актуализирани до CUPS 2.2.10 и cups-filters 1.21.6 с пълна поддръжка на AirPrint, DNS-SD (Bonjour) и IPP Everywhere за печат без предварителна инсталация на драйвери;
• Добавена е поддръжка за платформи, базирани на процесори Allwinner A64, като FriendlyARM NanoPi A64, Olimex A64-OLinuXino, TERES-A64, PINE64 PINE A64/A64/A64-LTS, SOPINE, Pinebook, SINOVOIP Banana Pi BPI-M64 и Xunlong Orange Pi Win(Plus);
• Разширен е броят на поддържаните от екипа на Debian Med метапакети med-*, които позволяват инсталиране на пакети с програми, свързани с биологията и медицината;
• Осигурена е поддръжка на гост системи Xen в режим PVH;
• В OpenSSL е деактивирана поддръжката на протоколите TLS 1.0 и 1.1, минималната поддържана версия е TLS 1.2;
• Премахнати са много остарели и неподдържани пакети, включително Qt 4 (оставен е само Qt 5), phpmyadmin, ipsec-tools, racoon, ssmtp, ecryptfs-utils, mcelog, revelation. В Debian 11 ще се прекрати поддръжката на Python 2;
• Създаден е порт за 64-битова архитектура RISC-V, който не е включен в официално поддържаните в Debian 10. В момента за RISC-успешно се събира около 90% от общия брой пакети;
• В Live-окруженията е започнало прилагането на независимо развиван модулен инсталатор Calamares с интерфейс, базиран на Qt, който също така се използва за организиране на инсталирането на дистрибуции Manjaro, Sabayon, Chakra, NetRunner, KaOS, OpenMandriva и KDE neon. В обичайните инсталационни версии продължава да се използва debian-installer.

  В допълнение към вече наличните е формировано Live-окружение с работен плот LXQt и Live-окружение без графичен интерфейс, само с конзолни утилити, съставляващи базовата система. Конзолното Live-окружение може да бъде използвано за много бърза инсталация на дистрибуцията, тъй като, за разлика от традиционните инсталационни образи, се извършва копиране на вече готови директории, без разопаковане на отделни пакети с помощта на dpkg.

Източник: opennet.ru