Разпределение Debian 10 „Buster“

След две години разработка се състоя релиз Debian GNU/Linux 10.0 (Buster), достъпна за десет официално поддържани архитектури: Intel IA-32/x86 (i686), AMD64 / x86-64, ARM EABI (armel), 64-битова ARM (arm64), ARMv7 (armhf), MIPS (mips, mipsel, mips64el), PowerPC 64 (ppc64el) и IBM System z (s390x). Актуализации за Debian 10 ще бъдат издавани в продължение на 5 години.

В хранилището са налични 57703 бинарни пакета, което е с около 6000 повече в сравнение с предложените в Debian 9. В сравнение с Debian 9 са добавени 13370 нови бинарни пакета, отстранени са 7278 (13%) остарели или изоставени пакета, обновени са 35532 (62%) пакета. За 91.5% от пакетите е осигурена поддръжката на повторяеми компилации позволява да се потвърди, че изпълнимият файл е събран именно от заявените изходни кодове и не съдържа чужди промени, които например могат да бъдат извършени чрез атака срещу инфраструктурата за компилация или вмъкване в компилатора.

За изтегляне са налични DVD образи, които могат да бъдат изтеглени от HTTP, jigdo или BitTorrent. Също така сформирано неофициален инсталационен образ nonfree, включващ проприетарни фърмуери. За архитектури amd64 и i386 са разработени LiveUSB, налични в варианти с GNOME, KDE и Xfce, както и многоплатформен DVD, комбиниращ пакети за платформа amd64 с допълнителни пакети за архитектура i386. Добавена е поддръжка на образи за зареждане по мрежата (netboot) за SD карти и образ, който се побира на 16 Гб USB флаш устройство;

Ключови промени в Debian 10.0:

• Реализирано поддръжка на UEFI Secure Boot, за осигуряването на работата на който е зает зареждача Shim, заверен с цифров подпис от компанията Microsoft (shim-signed), в комбинация със заверяване на ядрото и зареждача grub (grub-efi-amd64-signed) с личен сертификат на проекта (shim служи като междинен слой за използване на собствените ключове на дистрибутива). Пакетите shim-signed и grub-efi-ARCH-signed са включени в списъка със зависимости за компилация за amd64, i386 и arm64. Зареждачът и grub, заверени с работен сертификат, са включени в състава на EFI образите за amd64, i386 и arm64. Да припомним, че първоначално поддръжката на Secure Boot се очакваше в Debian 9, но не успяха да я стабилизират преди пускането и я отложиха за следващия значителен релиз на дистрибутива;
• По подразбиране е активирана поддръжката на системата за мандатен контрол на достъп AppArmor, която позволява контрол на правомощията на процесите, определяйки списъци с файлове с подходящите права (за четене, запис, показване в паметта и стартиране, установяване на блокировка върху файл и др.) за всяко приложение, както и контрол на достъпа до мрежата (например, забрана за използване на ICMP) и управление на POSIX capabilities. Основната разлика между AppArmor и SELinux е, че SELinux оперира с асоциирани с обект метки, а AppArmor определя правомощията на база на файловия път, което значително опростява процеса на настройка. В основния пакет с AppArmor се предлагат профили за защита само за някои приложения, а за останалите трябва да се използва пакета apparmor-profiles-extra или профили от пакетите на конкретни приложения;
• На мястото на iptables, ip6tables, arptables и ebtables дойде пакетният филтър nftables, който сега се прилага по подразбиране и се отличава с унификация на интерфейсите за филтриране на пакети за IPv4, IPv6, ARP и мрежови мостове. Nftables предоставя на ниво ядро само общ интерфейс, независим от конкретен протокол и предлага основни функции за извличане на данни от пакети, извършване на операции с данни и управление на потока. Логиката на филтрирането и специфичните за протокол обработвачи се компилират в байткод в пространството на потребителя, след което този байткод се зарежда в ядрото с помощта на интерфейса Netlink и се изпълнява в специална виртуална машина, наподобяваща BPF (Berkeley Packet Filters);

  По подразбиране се инсталира пакетът iptables-nft, който предлага набор от утилити за осигуряване на съвместимост с iptables, които имат идентичен синтаксис на командния ред, но трансформират получените правила в байткод nf_tables, изпълняван в виртуална машина. По желание е наличен за инсталация пакетът iptables-legacy, включващ старата реализация на базата на x_tables. Изпълняемите файлове iptables сега се инсталират в /usr/sbin, а не в /sbin (за съвместимост се създават символични връзки);

• За APT е реализиран режим на песъчник, активиран чрез опцията APT::Sandbox::Seccomp, осигуряваща филтриране на системни повици с помощта на seccomp-BPF. За по-прецизна настройка на белите и черни списъци на системни повици могат да се използват списъците APT::Sandbox::Seccomp::Trap и APT::Sandbox::Seccomp::Allow;
• Ядрото на Linux е обновено до версия 4.19;
• Работният плот GNOME по подразбиране е преведен на използването на Wayland, а сесията на базата на X-сървър е предложена като опция (X-сървърът все още е част от пакетите, включени в основната доставка). Обновен е графичният стек и потребителските среди: GNOME 3.30, KDE Plasma 5.14, Cinnamon 3.8, LXDE 0.99.2, LXQt 0.14, MATE 1.20, и Xfce 4.12. Офисният пакет LibreOffice е обновен до версия 6.1, а Calligra до версия 3.1. Обновени са Evolution 3.30, GIMP 2.10.8, Inkscape 0.92.4, Vim 8.1;
• В състава на дистрибутива е включен компилатор за езика Rust (поставя се Rustc 1.34). Обновени са GCC 8.3, LLVM/Clang 7.0.1, OpenJDK 11, Perl 5.28, PHP 7.3, Python 3.7.2;
• Обновени са сървърните приложения, включително Apache httpd 2.4.38, BIND 9.11, Dovecot 2.3.4, Exim 4.92, Postfix 3.3.2, MariaDB 10.3, nginx 1.14, PostgreSQL 11, Samba 4.9 (в ядрото е осигурена поддръжка на SMBv3);
• В cryptsetup е реализиран е извършен преход към формата на криптиране на дискове LUKS2 (преди това се е използвал LUKS1). LUKS2 се отличава с опростена система за управление на ключове, възможност за използване на големи сектори (4096 вместо 512, което намалява натоварването при декриптиране), символни идентификатори на дялове (label) и средства за резервиране на метаданни с възможност за автоматично възстановяване от копие в случай на повреда. При обновяването съществуващите дялове LUKS1 автоматично ще бъдат преобразувани в формат, съвместим с LUKS2, но поради ограничения в размера на заглавието не всички нови възможности ще бъдат достъпни за тях;
• В инсталатора е добавена възможност за използване на множество конзоли по време на инсталацията. Премахната е поддръжката на ReiserFS. За Btrfs е добавена поддръжка за компресия ZSTD (libzstd). Добавена е поддръжка за устройства NVMe;
• В debootstrap по подразбиране е активирана опцията «—merged-usr», при която всички изпълними файлове и библиотеки от кореновите директории се преместват в раздел /usr (каталогите /bin, /sbin и /lib* са оформени като символични връзки към съответните директории в /usr). Промяната важи само за нови инсталации, при обновяване старата структура на каталогите остава.
• В пакета unattended-upgrades, освен автоматичното инсталиране на обновления, свързани с отстраняване на уязвимости, вече по подразбиране е включено и обновление до междинни версии (Debian 10.1, 10.2 и т.н.);
• Компонентите на системата за печат са актуализирани до CUPS 2.2.10 и cups-filters 1.21.6 с пълна поддръжка за AirPrint, DNS-SD (Bonjour) и IPP Everywhere за печат без предварителна инсталация на драйвери;
• Добавена е поддръжка за дъски на базата на процесори Allwinner A64, като FriendlyARM NanoPi A64, Olimex A64-OLinuXino, TERES-A64, PINE64 PINE A64/A64/A64-LTS, SOPINE, Pinebook, SINOVOIP Banana Pi BPI-M64 и Xunlong Orange Pi Win(Plus);
• Разширен е броят на поддържаните от екипа Debian Med метапакети med-*, които позволяват инсталиране на подборки програми, свързани с биологията и медицината;
• Осигурена е поддръжка за гостови системи Xen в режим PVH;
• В OpenSSL е изключена поддръжката на протоколите TLS 1.0 и 1.1, а минималната поддържана версия е TLS 1.2;
• Много остарели и неподдържани пакети бяха премахнати, включително Qt 4 (остава само Qt 5), phpmyadmin, ipsec-tools, racoon, ssmtp, ecryptfs-utils, mcelog, revelation. В Debian 11 ще бъде прекратена поддръжката на Python 2;
• Създаден е порт за 64-битова архитектура RISC-V, който не попада в списъка на официално поддържаните в Debian 10. В момента за RISC-успешно се компилират около 90% от общия брой пакети;
• В Live-окруженията започна да се използва независимо развиван модулен инсталатор Calamares с интерфейс на базата на Qt, който също се използва за организиране на инсталация на дистрибуции Manjaro, Sabayon, Chakra, NetRunner, KaOS, OpenMandriva и KDE neon. В обикновените инсталационни сборки продължава да се използва debian-installer.

  В допълнение към преди наличните, е създадена Live-окръжение с работен плот LXQt и Live-окръжение без графичен интерфейс, само с конзолни утилити, съставящи базовата система. Конзолното Live-окръжение може да се използва за много бърза инсталация на дистрибуцията, тъй като за разлика от традиционните инсталационни образи се копират вече готови срезове на каталози, без разпечатване на отделни пакети чрез dpkg.

Източник: opennet.ru