Es wurde eine neue Version des APT-Paketverwaltungstools 2.9.20 (Advanced Package Tool) veröffentlicht. Die 2.9.x-Serie ist experimentell und dient der Entwicklung von Funktionen für die kommende stabile Version APT 3.0, die nach der Stabilisierung in Debian Testing integriert wird und im nächsten großen Debian-Release enthalten sein wird sowie im Paketrepository von Ubuntu hinzugefügt wird.
Änderungen seit der letzten Ankündigung:
- APT 2.9.16: Ein Fehler wurde behoben, der nach der Änderung der Schlüsselring-Managementmethoden in Version 2.9.15 aufgetreten ist und zu Unmut des dpkg-Betreuers führte, da einige Repositories nicht mehr funktionierten.
- APT 2.9.17:
- Es wurde eine abstrakte Schnittstelle für die Arbeit mit Hashes eingeführt, die im Rahmen der Bemühungen zur Ablösung von einer spezifischen kryptografischen Bibliothek umgesetzt wurde.
- Ein Problem im Versionsvergleichsalgorithmus wurde behoben, das bei der Verwendung der Option „—no-strict-pinning“ auftrat.
- Bei der Ausgabe von Diagnosenachrichten wurde der Debugging-Level berücksichtigt.
- Erwähnungen des Tools apt-key wurden bereinigt.
In die Man-Seite von apt-secure wurde eine Anleitung zur sicheren Konfiguration von Quellen aufgenommen.
- In gpgv wurde während der Ausführung eine Zusammenführung aller Schlüsselbundspeicher (keyring) zurückgegeben. Da die Datei mit dem gemeinsamen Schlüsselbund im tmpfs-Dateisystem abgelegt ist, dessen Inhalt in den Swap-Bereich ausgelagert werden kann, kann dieser Ansatz zu einer erhöhten Abnutzung von auf Flash-Speicher basierenden SSD-Laufwerken führen. Der News-Autor empfiehlt die Verwendung eines anonymen Kanals (fifo), dessen entferntes Ende einem anderen Prozess als Datei „/proc/<PID unseres Prozesses>/fd/<Descriptor>“ übergeben oder auf ähnliche Weise als zugängliche Speicherseite in Form einer Datei bereitgestellt werden kann.
- Ein kleines Refactoring wurde durchgeführt: Es wurde eine separate Funktion zur Überprüfung der Dateisignatur erstellt.
- APT 2.9.18:
- Die automatische Seitenaufteilung der Ausgabe der Befehle „show“, „policy“, „list“, „search“ und „showsrc“ wurde implementiert, die im Git-Stil arbeitet und über die Einstellung Binary::apt::Pager aktiviert werden kann. Das Seitenaufteilungsprogramm wird über die Umgebungsvariable PAGER festgelegt.
- Im Ausgabe der Kommandozeile „apt show —full“ wurden Informationen zur Paketbindung (Pinning) hinzugefügt, die aus den Feldern APT-Pin, APT-Candidate und APT-Release stammen.
- Eine Sicherheitsanfälligkeit wurde behoben, die beim Aufruf des Befehls „apt show“ dazu führte, dass aus einem Bereich des Speichers außerhalb des zugewiesenen Puffers gelesen wurde.
- APT 2.9.19:
- Ein Krypto-Backend wurde für die OpenSSL-Bibliothek hinzugefügt, die GnuTLS und Gcrypt ersetzt.
- Die Nutzung des Tools sqv aus dem Sequoia-Projekt zur Überprüfung von digitalen Signaturen anstelle des Aufrufs von gpgv wurde hinzugefügt. Im Wrapper-Code über sqv wird weiterhin fragwürdiger Umgang mit temporären Dateien bei der Arbeit mit Schlüsseln betrieben.
- Bis 2026 ist die Verwendung von selbstsignierten Signaturen auf Basis des SHA-1-Algorithmus erlaubt.
- APT 2.9.20: Es wird offiziell empfohlen, Dateien in /etc/apt/sources.list.d/ als „$(dpkg-vendor —query Vendor | tr A-Z a-z).sources“ zu benennen — mit dem aktuellen Anbieter in Kleinbuchstaben.
Quelle: opennet.ru
