Die Version 2.9.20 des APT-Paketverwaltungstools (Advanced Package Tool) ist veröffentlicht worden. Die 2.9.x-Reihe ist experimentell und wird zur Entwicklung von Funktionen für die zukünftige stabile Version APT 3.0 verwendet, die nach Stabilisierung in Debian Testing integriert und in der nächsten bedeutenden Debian-Version veröffentlicht sowie in das Paket-Repository von Ubuntu aufgenommen wird.
Änderungen seit der letzten Ankündigung:
- APT 2.9.16: Der nach der Änderung der Methoden zur Verwaltung von Schlüssel-Repositories in Version 2.9.15 aufgetretene Regressionsfehler wurde behoben, was zu Unzufriedenheit beim dpkg-Betreuer führte, da die Arbeit mit einigen Repositories eingestellt wurde.
- APT 2.9.17:
- Eine abstrakte Schnittstelle zur Arbeit mit Hashes wurde eingeführt, um die Abhängigkeit von einer bestimmten kryptografischen Bibliothek zu beseitigen.
- Ein Problem im Versionsvergleichsalgorithmus wurde behoben, das beim Einsatz der Option „—no-strict-pinning“ auftrat.
- Bei der Ausgabe von Diagnosemeldungen wurde das Debugging-Level berücksichtigt.
- Sauberung von Erwähnungen des Tools apt-key wurde durchgeführt.
In die man-Seite apt-secure wurde eine Anleitung zur sicheren Konfiguration der Quellen aufgenommen.
- In gpgv wird das Zusammenführen aller Schlüssel-Repositorys (keyring) während der Ausführung zurückgegeben. Da die Datei mit dem gemeinsamen Schlüssel-Repository im Dateisystem tmpfs abgelegt wird, dessen Inhalt in den Swap-Bereich verschoben werden kann, kann dieser Ansatz zu erhöhtem Verschleiß bei Flash-basierten SSDs führen. Der Autor der Ankündigung empfiehlt die Verwendung eines anonymen Kanals (fifo), dessen entferntes Ende einem anderen Prozess als Datei „/proc//fd/“ oder als den gleichen Speicherbereich zur Verfügung gestellt werden kann, ähnlich als Datei.
- Ein kleines Refactoring wurde durchgeführt: eine separate Funktion zur Überprüfung der Dateisignatur wurde erstellt.
- APT 2.9.18:
- Die automatische Seitenaufteilung der Ausgaben der Befehle „show“, „policy“, „list“, „search“ und „showsrc“ wurde im git-Stil implementiert und kann über die Einstellung Binary::apt::Pager aktiviert werden. Die Anwendung zur Seitenaufteilung wird über die Umgebungsvariable PAGER definiert.
- Im Befehl «apt show —full» wurde Informationen zum Festlegen von Paketen (Pinning) hinzugefügt, die aus den Feldern APT-Pin, APT-Candidate und APT-Release stammen.
- Eine Sicherheitsanfälligkeit, die beim Aufruf des Befehls „apt show“ zum Lesen aus dem Speicher außerhalb des zugewiesenen Puffers führte, wurde behoben.
- APT 2.9.19:
- Ein Krypto-Backend für die OpenSSL-Bibliothek wurde hinzugefügt, das GnuTLS und Gcrypt ersetzt.
- Die Möglichkeit, das sqv-Tool des Sequoia-Projekts zur Überprüfung digitaler Signaturen anstelle von gpgv zu verwenden, wurde hinzugefügt. Im Wrapper-Code über sqv wird die fragwürdige Verwendung temporärer Dateien beim Arbeiten mit Schlüsseln weiterhin fortgesetzt.
- Die Verwendung von selbstsignierten Signaturen auf Basis des SHA-1-Algorithmus ist bis 2026 zulässig.
- APT 2.9.20: Es wurde eine offizielle Empfehlung hinzugefügt, Dateien in /etc/apt/sources.list.d/ als „$(dpkg-vendor —query Vendor | tr A-Z a-z).sources“ zu benennen – dem aktuellen Anbieter in Kleinbuchstaben.
Quelle: opennet.ru
