È stato pubblicato il rilascio dello strumento per la gestione dei pacchetti APT 2.9.20 (Advanced Package Tool). Il ramo 2.9.x è sperimentale e viene utilizzato per lo sviluppo delle funzionalità della futura versione stabile APT 3.0, che dopo la stabilizzazione sarà integrata in Debian Testing e farà parte del prossimo significativo rilascio di Debian, e sarà inoltre aggiunta al database dei pacchetti di Ubuntu.
Modifiche dall'ultimo annuncio:
- APT 2.9.16: Risolta una regressione verificatasi dopo la modifica dei metodi di gestione dei repository delle chiavi nella versione 2.9.15, che aveva causato malcontento tra i mantenitori di dpkg a causa dell’interruzione del supporto per alcuni repository.
- APT 2.9.17:
- Introdotto un'interfaccia astratta per lavorare con gli hash, implementata nell'ambito del lavoro per eliminare il legame rigido a una singola libreria crittografica.
- Risolto un problema nell'algoritmo di confronto delle versioni, evidenziato dall'uso dell'opzione «—no-strict-pinning».
- Nell'output dei messaggi diagnostici è stata garantita la considerazione del livello di debug.
- Rimosse le menzioni all'utility apt-key.
Nella pagina man di apt-secure è stata aggiunta una guida per una configurazione sicura delle fonti.
- In gpgv è stata ripristinata la fusione di tutti i repository di chiavi (keyring) durante l'esecuzione. Poiché il file del repository di chiavi condiviso è collocato nel filesystem tmpfs, il cui contenuto può essere spostato nella partizione di swap, questo approccio potrebbe portare a un’usura accelerata degli SSD basati su memoria flash. L'autore della notizia consiglia di utilizzare un canale anonimo (fifo), la cui estremità remota può essere passata a un altro processo come file «/proc//fd/», oppure come pagina di memoria accessibile in modo simile come file.
- Eseguita una piccola rifattorizzazione: creata una funzione separata per la verifica della firma di un file.
- APT 2.9.18:
- Implementata la suddivisione automatica delle pagine nell'output dei comandi «show», «policy», «list», «search» e «showsrc», che funziona in stile git e può essere attivata tramite la configurazione Binary::apt::Pager. L'applicazione per la paginazione è determinata tramite la variabile d'ambiente PAGER.
- Nell'output del comando «apt show —full» è stata aggiunta l'informazione sul pinning dei pacchetti, ricavata dai campi APT-Pin, APT-Candidate e APT-Release.
- Risolta una vulnerabilità che, all'occorrenza della chiamata del comando «apt show», portava alla lettura dalla memoria al di fuori del buffer allocato.
- APT 2.9.19:
- È stato aggiunto un backend crittografico per la libreria OpenSSL, che sostituisce GnuTLS e Gcrypt.
- È stata aggiunta la possibilità di utilizzare l'utilità sqv del progetto Sequoia per verificare le firme digitali anziché richiamare gpgv. Nel codice di avvolgimento sopra sqv, durante il lavoro con le chiavi, continua un dubbio uso di file temporanei.
- Fino al 2026 è consentito l'uso di firme autofirmate basate sull'algoritmo SHA-1.
- APT 2.9.20: È stato aggiunto un consiglio ufficiale per nominare i file in /etc/apt/sources.list.d/ come «$(dpkg-vendor —query Vendor | tr A-Z a-z).sources» — il nome dell'attuale fornitore in minuscolo.
Fonte: opennet.ru
