Kategorie: Debian

  • 20 Jahre Kernel-Support für zivile Infrastrukturen

    20 Jahre Kernel-Support
    Quelle: Pontevedra-El arpa del puente1 juantiagues Lizenz: CC-BY-SA-2.0
      Kernel haben gemeinhin eine recht kurze Lebensspanne, die kaum über das nächste Release hinausreicht. Ein oder zweimal im Jahr greift sich Greg Kroah-Hartman einen Kernel heraus und lässt ihm eine Langzeitpflege von rund zwei Jahren angedeihen. In dieser Zeit erhält dieser Kernel Sicherheits-Updates und Fehlerbereinigung.

    Kernel 3.2 noch gepflegt

    Einige Maintainer pflegen Kernel auch über längere Zeiträume, ohne dass dazu feste Regeln bestehen. Der derzeit älteste noch offiziell gepflegte Kernel ist der von Debian-Entwickler Ben Hutchins gepflegte Kernel 3.2, der im Januar 2012 veröffentlicht wurde. Vor nicht allzulanger Zeit erst wurde die Pflege des Kernels 2.6.32 von 2009 eingestellt.

    20 Jahre Support geplant

    Das alles erscheint kurz gegenüber den Plänen einer Initiative, die Kernel über 20 Jahre pflegen möchte, über die Jonathan Corbet jetzt auf LWN berichtet. Dabei handelt es sich um die Civil Infrastructure Platform (CIP). Entwickler Yoshitake Kobayashi stellte das Konzept auf der kürzlich abgehaltenen Embedded Linux Conference 2018 in Portland, Oregon vor. Dabei geht es darum, eine stabile Tragschicht für zivile Infrastruktursysteme zu schaffen.

    Andere Zeitskala

    Die Infrastrukturen, auf die wir uns alle verlassen, einschließlich derjenigen für Transport, Energieerzeugung und vieles mehr, basieren auf Linux. Wenn diese Systeme ausfallen, entstehen sofort ernsthafte Probleme. Diese Art von Infrastruktur läuft auf einer anderen Zeitskala als eine typische Linux-Distribution. Die Entwicklungszeit, die allein für die Inbetriebnahme eines solchen Systems benötigt wird, kann bis zu zwei Jahrzehnte betragen, und das System selbst kann dann üblicherweise 25-60 Jahre in Betrieb bleiben.

    »Our civilization’s infrastructure runs on Linux« – Yoshitake Kobayashi

    Zuverlässigkeit, Robustheit und Sicherheit

    Die Rechnersysteme, die diese Infrastrukturen unterstützen, müssen über lange Zeiträume funktionieren. Sie müssen auf industrietauglicher Software basieren, die in der Lage ist, das erforderliche Maß an Zuverlässigkeit, Robustheit und Sicherheit zu bieten. Aber auch in dieser konservativen Umgebung müssen diese Systeme stets auf dem aktuellen Stand der Technik sein. Bislang wurde die langfristige Unterstützung, die notwendig ist, um sie am Laufen zu halten, von einzelnen Unternehmen geleistet, ohne dass es zu gemeinsamen Anstrengungen kam, wie Kobayashi berichtet. Das hat diese Systeme zwar funktionsfähig gehalten,  ist aber ein teurer Ansatz, der tendenziell hinter dem aktuellen Stand der Technik zurückbleibt.

    Gemeinsam stärker

    Der Weg zu einer Zusammenarbeit besteht darin, ein kollaboratives Framework zu schaffen, das industrietaugliche Software unterstützt und dabei so weit wie möglich mit den Entwickler-Communities zusammenarbeitet. Das ist die Rolle, für die das CIP geschaffen wurde. Derzeit unterstützen sieben Mitgliedsunternehmen die Initiative. Sie supporten das Projekt, indem sie direkt zu den Upstream-Projekten beitragen und Arbeiten finanzieren, die die Ziele des CIP vorantreiben.

    SLTS-Kernel

    CIP konzentriert sich derzeit auf die Erstellung einer Open-Source-Basisschicht, die aus einer kleinen Anzahl von Komponenten besteht, darunter der Kernel, die GNU C-Bibliothek und BusyBox. Die Distributoren sollen auf dieser Basis aufbauen können. Das Hauptprojekt im Moment ist die Erstellung des Super-Langzeit-Support-Kernels (SLTS), der hoffentlich mindestens zehn Jahre lang unterstützt werden kann. Wenn damit die Erfahrung mit extra langfristigem Support wächst, werden künftige Kernel auch längere Supportzeiten haben können. Der erste SLTS-Kernel basiert auf der 4.4 LTS-Version und wird von Ben Hutchings gewartet; die entsprechende 4.4.120-cip20-Version erschien am 9. März 2018. Im Allgemeinen sehen die Richtlinien des Projekts vor, den stabilen Upstream-Versionen zu folgen, solange sie unterstützt werden. Backports von neueren Kerneln sind explizit erlaubt, aber sie müssen in der Hauptlinie liegen, bevor sie für einen SLTS-Kernel infrage kommen. Neue Kernel-Versionen werden alle vier bis sechs Wochen veröffentlicht. Es gibt eine explizite Richtlinie, die die Unterstützung für Out-of-Tree-Treiber aus dem Staging-Bereich des Mainline-Kernel-Trees ausschließt.

    Anpassung an LTS-Auswahl

    Alle zwei bis drei Jahre wird ein neues Major-Kernel-Release für den Super-Langzeit-Support ausgewählt. Das Projekt denkt derzeit darüber nach, welches Release die Basis für den nächsten SLTS-Kernel sein wird. Die Anpassung an die LTS-Auswahl von Greg Kroah-Hartman ergibt dabei den meisten Sinn. Bei einem Treffen auf dem Japan Open Source Summit im Juni wird diese Entscheidung getroffen werden.

    »Das Jahr-2038-Problem von EDV-Systemen könnte zu Ausfällen von Software im Jahr 2038 führen.« – Wikipedia

    Zusammenarbeit mit Debian

    Das Hauptaugenmerk von  CIP-Core liegt bei der Erstellung von installierbaren Images, die aus einer kleinen Untermenge von Debian-Paketen und dem CIP-SLTS-Kernel bestehen. Der Code hierzu wird auf GitLab gepflegt. CIP arbeitet mit Debian zusammen, um eine Untermenge von Paketen längerfristig zu unterstützen, die Cross-Compilation zu verbessern und den Austausch von DEP-5-Lizenzinformationen zu verbessern.

    Sicherheitszertifizierung angestrebt

    Längerfristig strebt CIP eine Sicherheitszertifizierung nach IEC-62443 an. Das ist ein ehrgeiziges Ziel, das  CIP nicht alleine erreichen kann. Das Projekt arbeitet an Dokumentationen, Testfällen und Tools, die hoffentlich bei einem Zertifizierungsantrag helfen werden. Ein weiteres Problem, das bei einem solchen Projekt auf dem Radar sein muss, ist das Jahr-2038-Problem, das derzeit eine harte Grenze setzt, wie lange ein Linux-System unterstützt werden kann. CIP arbeitet mit Kernel- und Libc-Entwicklern zusammen, um Lösungen in diesem Bereich voranzutreiben.
  • Debian 9 erhält viertes Punkt-Release

    Debian 9 erhält viertes Punkt-Release

    Debian 9.4
    Screenshot: ft

     

    Am Wochenende hat die aktuelle, im Juni 2017 freigegebene Veröffentlichung des Debian-Projekts, Debian GNU/Linux  9 |»Stretch«, das vierte Punkt-Release erhalten. Zuletzt war Debian im Dezember 2017 auf Version 9.3 angehoben worden.

    Wie üblich enthält auch das neue Punkt-Release hauptsächlich Sicherheits-Updates und Fehlerbereinigungen. Dabei liegt das Hauptaugenmerk darauf, mit der Beseitigung von Fehlern keine neuen Regressionen einzuschleppen.

    Korrekturen von wichtigen Fehlern gab es unter anderem bei Clamav; bei Cups und beim Debian-Installer sowie bei Base-Files, Flatpak und Systemd. Der Kernel wurde auf 4.9.82-1+deb9u3 aktualisiert.

    Sicherheitsupdates wurden unter anderem für Firefox, Thunderbird, Tor, Wireshark, OpenSSL und Transmission herausgegeben. Aus Sicherheitsgründen entfernt wurde beispielsweise die Bitcoin-Geldbörse Electrum, die nun von der Electrum-Website bezogen werden muss.

    Insgesamt wurden in 88 Paketen Fehler behoben oder die Version angehoben. Sicherheitsaktualisierungen gab es bei 71 Paketen, die jeweils in einem »Debian Security Advisory« (DSA)  beschrieben sind. Insgesamt fassen die Debian-Punkt-Releases  die Sicherheitsupdates und Fehlerkorrekturen seit dem jeweils letzten Punkt-Release zusammen. Anwender, die ihr System regelmäßig aktualisieren, haben die meisten Änderungen bereits erhalten. Erste aktualisierte Images für neue Installationen stehen auf den Download-Servern zur Verfügung, weitere werden in den nächsten Tagen folgen.

     

     

     

     

     

  • Siduction 2018.2 erschienen

    Siduction 2018.2
    Screenshot: ft

     

    Drei Monate nach 2018.1 erschien nun die zweite Veröffentlichung der auf Debian basierenden Rolling-Release-Distribution siduction für dieses Jahr. Wie den Release Notes zu entnehmen ist, wird siduction für die Desktop-Umgebungen KDE, LXQt, GNOME, Cinnamon, MATE, Xfce und Lxde herausgegeben. Dazu kommen zwei Varianten für Anwender, die sich ihr System nach den eigenen Vorstellungen einrichten möchten. Bringt die »Xorg« benannte Variante einen X.org-Stack und Fluxbox als Fenstermanager mit, so kommt »noX« ganz ohne X auf den Rechner und ermöglicht so größtmögliche Freiheit bei der Einrichtung des Systems.

    Desktops satt

    Siduction 2018.2 ist ein Schnappschuss von Debian Unstable vom 4. März, der mit einem Distributionskernel 4.15.7, X-Server 1.19.5 und systemd 237.4 ausgestattet ist. Der grafische Installer basiert auf dem Calamares Installer Framework. Zudem ist mit dem CLI-Installer ein zweiter Installer auf der Basis von Ncurses an Bord, der in den Varianten Xorg und noX auch die einzige Installationsmöglichkeit darstellt. Bei den veröffentlichten Desktop-Umgebungen steht KDE Plasma bei Version 5.12.2 und GNOME bei 3.26. LXQt wird als 0.12.0, Xfce als 4.12.4, Cinnamon mit 3.4.6 und MATE mit 1.20.0 ausgeliefert.

    Meltdown und Spectre

    Siduction hat von Anfang an sehr zeitnah die Patches zur Abschwächung der CPU-Sicherheitslücken Meltdown und Spectre  in seine Kernel integriert. Auch der mit 2018.2 ausgelieferte Kernel 4.15.7 ist hierbei auf dem neuesten Stand. Um dem Anwender zu ermöglichen, den jeweiligen Schutz gegen die Lücken nachzuvollziehen wurde das Paket spectre-meltdown-checker integriert. Mit Root-Rechten aufgerufen, vermittelt es grafisch einen Überblick der implementierten Schutzmaßnahmen.

    Weitere Neuerungen von siduction 2018.2 vermitteln die Release Notes. Die als Live-Medium ausgelegten Images der verschiedenen Desktops bieten die Spiegelserver des Projekts zum Download an. Am kommenden Wochenende kann man die Entwickler auf einem Stand bei den Chemnitzer Linux-Tagen antreffen.

     

  • Debian diskutiert neue Herausforderungen in einem veränderten Ökosystem

    Debian diskutiert neue Herausforderungen in einem veränderten Ökosystem

     

    Debian diskutiert
    Logo: Mohd Sohail Lizenz: CC BY 2.0

    Auf der Debian-Entwickler-Mailing-Liste wird seit einigen Tagen in dem Thread What can Debian do to provide complex applications to its users? ausgiebig über ein Problem diskutiert, das im Kern die saubere Paketierung von komplexen Anwendungen in Debian betrifft, die meist aus dem Bereich Web-Applikationen stammen. Dabei geht es beispielsweise um Applikationen. die auf die Plattform Node.js und deren Repository NPM setzen. Es ist nicht das erste Mal, dass Debian diese Probleme diskutiert, die im Endeffekt auch die eigene Relevanz in der Zukunft der Linux-Distributionen betreffen.

    Debian diskutiert neue Entwicklungsmodelle

    Die Welt der Software-Entwicklung verändert sich seit Jahren rapide außerhalb des Debian-Ökosystems. Ein aktueller Trend in der Software-Entwicklung ist die Verwendung von Programmiersprachen, oft interpretierte Hochsprachen, kombiniert mit der intensiven Nutzung von Drittanbieter-Bibliotheken und einem sprachspezifischen Paketmanager für die Installation von Bibliotheken durch Entwickler und den Systemadministrator, der die Software für die Produktion installiert. Dadurch werden Linux-Distributionen zunehmend umgangen.

    Nicht kompatibel

    Debians Richtlinien kollidieren hier häufig mit der gebotenen Aktualität bei dieser Art von Anwendung. Sicherheit ist dabei ein wichtiges Thema. Es wird in dem Thread unter anderem zu Recht bemängelt, dass Quelltext und Copyright-Informationen der in Web-Applikationen häufig verwendeten unzähligen JavaScript-Bibliotheken von Upstream oft nicht angegeben oder gar unbekannt sind, was in Debian prinzipiell unakzeptabel ist. Darüber hinaus werden JavaScript-Bibliotheken als Abhängigkeiten in solchen Anwendungen häufig aktualisiert, während in Debian noch eine ältere Version der Bibliothek Standard ist und somit die Anwendung bricht.

    Viele Upstream-Entwickler solch komplexer Anwendungen ziehen es zunehmend vor, wegen der als restriktiv angesehenen Richtlinien nicht mit Debian zusammenzuarbeiten. Dabei geht es oft um Anwendungen, die neben JavaScript auf PHP, Python, Ruby oder Golang setzen. Die kurzen Supportzeiträume dieser Frameworks und Sprachen passen nicht mit Debians Philosophie zusammen. Ein weiteres Problem ist die Minifizierung, die neben CSS besonders bei JavaScript angewendet wird, um eine beschleunigte Ausführung des Codes zu erreichen. Dies ist aber nicht konform mit Debians Social Contract und ergibt im Ergebnis unwartbaren Quellcode. Deshalb sehen auch Debians FTP-Master und das Technical Comitee minifizierten Code als für Debian unbrauchbar an.

    Weiterhin spielt das Thema Vendoring eine Rolle. Vendoring ist die Erstellung einer eigenen Kopie von Bibliotheken, die ein Upstream- Projekt verwendet. Diese Kopien werden traditionell in jedem Projekt platziert und dann im Projekt-Repository gespeichert. Gibt es in einer der Original-Bibliotheken ein Sicherheitsproblem, so wird die »vendored version« oft nicht oder viel zu spät aktualisiert. Auch das entspricht nicht Debians Richtlinien.

    Debian-Paket oder externe Anwendung?

    Das Dilemma, vor dem die Entwickler und Anwender hier stehen ist nicht leicht zu lösen. Fällt die Wahl auf das Debian-Paket einer Anwendung (sofern eins existiert), so kann meist die gebotene Aktualität, die bei Web-Anwendungen besonders wichtig ist, nicht gewährleistet werden oder die Anwendung bricht bei der Aktualisierung.

    Als Alternative kann der Anwender auf die Upstream-Version zurückgreifen, bei der es gleich mehrere Unbekannte gibt. Sie wird meist mit einem eigenen Installer wie Pip im Fall von Python oder NPM für das allgegenwärtige Node.js. Diese Installer schaufeln Code auf die Rechner, der in keiner Weise einer Verifizierung unterliegt, wie das für Debian-Repositories der Fall ist. Andererseits handhaben diese Installer oft Hunderte von Abhängigkeiten, die ein Debian-Maintainer zeitlich gar nicht bewältigen kann.

    Container oder Flatpaks

    Welche Lösungen gibt es für diese Problematik? Und ist Debian flexibel genug, um mögliche Lösungen umzusetzen? Das sind Fragen, die nicht nur im Thread selbst, sondern auch in den Blogs der beiden Debian-Urgesteine Lars Wirzenius und Joey Hess aufgegriffen werden. Ein diskutierter Lösungsansatz ist die Verwendung von Containern oder Flatpaks innerhalb der Debian-Infrastruktur für solche Anwendungen. Denkbar wäre auch ein Repository für solche Pakete, ähnlich denen für contrib und non-free. Hier müsste klar vermittelt werden, dass für solch ein Repository keine Sicherheitsunterstützung gewährleistet wird.

    Vision für die Zukunft?

    Eine andere Möglichkeit wäre, Pakete in mehreren Versionen zuzulassen wie das beispielweise für C-Bibliotheken,  GCC, Python und andere schon länger der Fall ist. Der Blick richtet sich zudem auf Distributionen wie NixOS, die nicht der traditionellen Verzeichnisstruktur des Filesystem Hierarchy Standard folgen. NixOS erlaubt mehrere Versionen einer Anwendung gleichzeitig, wobei jede Version der Anwendung ihre Dateien in einem eigenen Verzeichnis ablegt. Alle vorgebrachten Ideen drohen aber an der fehlenden Entwickler- und Betreuerzeit in Debian zu scheitern.

    Das vorliegende Problem betrifft aber auch die Relevanz von Debian. So formuliert denn auch ein Entwickler:

    [su_quote style=“flat-light“ cite=“Vincent Bernat“ url=“https://lists.debian.org/debian-devel/2018/02/msg00343.html“] I have the […] feeling Arch is taking away our desktop users, Ubuntu is taking away our cloud users, Alpine is taking away our container users and CoreOS/Atomic Host are taking away users interested by container orchestration solutions.[/su_quote]

    Freie Software weiter tragfähig?

    Tritt man etwas weiter zurück, so sieht es auf längere Sicht für Linux-Distributionen in ihrer jetzigen Form insgesamt nicht rosig aus. Viele junge Entwickler scheren sich nicht mehr um Werte wie Lizenzen, lesbaren und dokumentierten Quellcode oder nachvollziehbare Copyright-Angaben. Wenn allerdings das Modell der Distributionen nicht mehr tragfähig ist, worauf wollen Entwickler freier Software dann ihre Anwendungen laufen lassen?

    Das Problem ist nicht neu, Lennart Poettering hat sich bereits vor Jahren über die Art, wie wir künftig Distributionen bauen Gedanken gemacht. Die Ideen dazu werden bereits seit Längerem erprobt, haben sich aber bisher nicht auf breiter Front durchgesetzt.

  • Wichtiges Debian-Security-Update

    Wichtiges Debian-Security-Update

    Debian-Security-Update
    Screenshot: ft

     

    Debians Kernel-Maintainer Ben Hutchings hat mit dem Debian Security Advisory DSA 4073-1 ein wichtiges Debian-Security-Update für Kernel 4.9 LTS in  Debian GNU/Linux 9 »Stretch« freigegeben. Das Update deckt insgesamt 18 kürzlich entdeckte Sicherheitslücken im Kernel ab, die von Data Leakage  über Rechteausweitung bis hin zu Denial of Service reichten.

    Alle 18 Lücken haben eine CVE-Nummer

    Nähere Einzelheiten können über die zugeordneten CVE-Nummern eingeholt werden. Diese lauten CVE-2017-8824, CVE-2017-16538, CVE-2017-16644, CVE-2017-16995, CVE-2017-17448, CVE-2017-17449, CVE-2017-17450, CVE-2017-17558, CVE-2017-17712, CVE-2017-17741, CVE-2017-17805, CVE-2017-17806, CVE-2017-17807, CVE-2017-17862, CVE-2017-17863, CVE-2017-17864, CVE-2017-1000407 und CVE-2017-1000410.

    Zeitnah aktualisieren!

    Hutchings erläutert zudem jede Verwundbarkeit einzeln kurz in seiner Ankündigung des Debian-Security-Update. Die Sicherheitslücken sind im aktuellen Debian-Kernel mit der Versionsnummer 4.9.65-3+deb9u1 geschlossen. Im kürzlich erschienenen Update auf Debian 9.3 sind diese Lücken noch vorhanden. Somit sind Anwender von Debian 9 »Stretch« angehalten, ihre Systeme zeitnah durch ein Update abzusichern. Weitere Informationen zu Debian Security Advisories bietet die Debian-Security-Webseite.

     

  • Debian 9.3 »Stretch« und 8.10 »Jessie« erschienen

    Debian 9.3 »Stretch« und 8.10 »Jessie« erschienen

    Debian 9.3
    Screenshot: ft

    Das Debian-Release-Team macht derzeit Überstunden. Nach der zweiten Alpha-Version zu Debian 10 »Buster« hat das Projekt nun die dritte von mehreren Aktualisierungen von Debian 9 »Stretch«, dem derzeit stabilen Zweig des Projekts, freigegeben. Zusätzlich erhielt auch der als »oldstable« geführte Vorgänger Debian 8 »Jessie« eine Aktualisierung auf Version 8.10.

    Diese Veröffentlichungen fügen vor allem Korrekturen für Sicherheitsprobleme hinzu, zusammen mit Anpassungen für kritische Fehler in Anwendungen. Debian Security Advisories für die Sicherheitsprobleme wurden bereits separat veröffentlicht. Das berichteten gestern die DebianNews. Debian 9 Stretch wurde Mitte Juni freigegeben, die erste Aktualisierung fand Ende Juli statt, die zweite im Oktober.

    Debian 9.3

    Gemeinsam ist beiden Aktualisierungen die Auslieferung der akkumulierten Sicherheitsupdates. Für die Aktualisierung auf Debian 9.3 wurden 123 Änderungen eingefügt, wovon 68 Fehler in Anwendungen korrigieren während 55 Sicherheitsprobleme beheben. Fehler wurden unter anderem im Kernel sowie in den Paketen base-apps, live-configf, lxc, python-2.7, syslinux, tor und zsh behoben.

    Browser liegen vorne

    Bei den Sicherheitsupdates liegt der Chromium-Browser mit zwei behobenen Lücken vorne. Weitere sicherheitsrelevante Änderungen betreffen unter anderem die Pakete qemu, nautilus, wordpress, thunderbird, xorg-server, firefox-esr, samba und vlc. Das Paket libnet-ping-external-perl wurde entfernt. Für Debian 8.10 wurden insgesamt 147 Änderungen vorgenommen. Davon betreffen 52 Fehler in Paketen während 95 sich um Sicherheitslücken drehten. Hier wurde zusätzlich noch das obsolete Paket aiccu entfernt.

    Zeitnah aktualisieren

    Allen anderen Anwendern wird zur zeitnahen Aktualisierung über das Paketmanagement geraten. Debian GNU/Linux 8.10 und 9.3 stehen ab sofort auf dem Debian-Server sowie den offiziellen Spiegelservern zum Bezug bereit. Für neue Installationen werden in den nächsten Tagen aktualisierte Images auf den Download-Servern zur Verfügung stehen. Weitere Informationen zu Debian GNU/Linux 9 sind in der offiziellen Release-Information nachzulesen. Aktualisierte Images werden in den nächsten Tagen bereitstehen.

  • Debian diskutiert erneut über Freie Software

    Debian diskutiert erneut über Freie Software

    Freie Software
    Screenshot: ft

     

    Seit einigen Tagen herrscht bei Debian eine rege Diskussion über ausschließlich Freie Software auf den Distributionsmedien auf der Debian-Entwicklerliste. Ausgelöst durch einen Bericht einer fehlgeschlagenen Debian-Installation entwickelt sich der Thread zu einer Grundsatzdiskussion, welche sich bei Debian leicht über Wochen hinziehen können, um dann oft genug ergebnislos zu versickern.

    Linux Mint gegen Debian

    Der Ausgangspost beschreibt den Versuch eines fortgeschrittenen Computer-Anwenders, erstmals Linux auf einem Notebook zu installieren. Er entschied sich zunächst für Linux Mint und die Installation funktionierte auf Anhieb, die Hardware des Notebooks wurde korrekt erkannt und eingerichtet. Ein befreundeter Debian-Entwickler bat ihn, doch auch Debian 9 »Stretch« eine Chance zu geben. Gesagt – getan. Das Ergebnis war allerdings nicht wie erwünscht. Weder konnte nach der Installation eine WLAN-Verbindung erstellt werden, noch konnte auf angeschlossene NTFS-Laufwerke geschrieben werden. War ersteres zu erwarten, da WLAN-Treiber bei Debian in der Non-Free-Sektion liegen, so scheint das zweite ein Bug in NTFS-3G zu sein. Aber darum geht es hier nicht.

    Versteckt, aber funktionierend

    Prompt fragte ein Entwickler, warum der Anwender denn nicht ein inoffizielles Image genommen habe, welches die notwendige unfreie Firmware bereits mitbringt. Andere wollten daraufhin wissen, woher denn der Anwender von der inoffiziellen Version gewusst haben solle. Wie sich im weiteren Verlauf heraus stellte, wissen nicht einmal alle Debian-Entwickler, wo diese Images zu finden sind. Daraus ist mittlerweile ein zweiter Thread entstanden.

    Kein Ende in Sicht

    Damit waren die Grundlagen gelegt, um in Debian eine Grundsatzdiskussion loszubrechen, die sowohl technische als auch ideologische Fragen aufwirft, aber in erster Linie geht es um die Grundfesten der Distribution. Debian hat sich von Beginn an Freier Software verschrieben. Dabei ist das Thema nicht neu. Das 2011 erschienene Debian 6 »Squeeze« basierte erstmals auf einem Kernel, aus dem in zweijähriger Arbeit alle unfreien Firmware-Blobs entfernt worden waren. Vorausgegangen waren zwei  General Resolutions, (GR), ein Wahlverfahren, bei dem nach einer Diskussionsphase alle Debian-Entwickler einer der angebotenen Lösungen ihre Stimme geben können. Trotzdem kehrt die Diskussion ständig wieder.

    Debian verliert

    Es wird diskutiert, dass Debian Anwender an andere Distributionen verliert, die noch weniger frei sind und Debian im Endeffekt irgendwann nur noch die Basis für andere Distributionen darstellt, die es dem Anwender einfacher machen, die Hardware zu benutzen, die er bezahlt hat. Ein weiterer Einwurf ist, dass Debian mit diesem Beharren auf ausschließlich Freier Software auf den Images der Distribution Linux insgesamt Schaden zufüge, da neue Anwender, die erstmals eigenständig Debian installieren, Linux generell als nicht funktional empfinden und zu ihren proprietären Betriebssystemen zurückkehren. Dabei geht es im Grunde doch darum, den Anwender zu informieren, bevor er unfreie Software einsetzt, so dass er eine fundierte Endscheidung für sich selbst treffen kann.

    Nur Freie Software oder zufriedene Anwender?

    Hier geraten die zwei wichtigsten Debian-Schutzgüter in Konflikt: Freie Software und die Debian-Anwender. Im Endeffekt geht es dabei um einen Spagat zwischen der Anerkennung durch die Free Software Foundation (FSF) von Richard Stallman und dem Wunsch der Anwender, dass Debian ihre Hardware bei der Installation erkennt und mit den benötigten Treibern funktionsfähig macht, egal ob free oder non-free. Dabei ist Debian für Richard Stallman nicht frei genug, da es dem Anwender zu leicht gemacht wird, unfreie Software zu installieren. Der Anwender hingegen findet es zu schwer, seine Hardware in Betrieb zu nehmen. Entwickler Marc Haber bringt es auf den Punkt:

    »We’re approaching a worst-of-both-worlds scenario: We’re not Free enough to have the FSF recommend us, and we’re not non-free enough for our OS to run on current hardware used by Linux beginners, and cause them to end up with OSses that are (a) not Debian, and (b) even less free than Debian«

    Wer kommt bei Debian ohne Firmware-Blobs aus?

    Es geht dabei um mehr als das oft angesprochene, ohne unfreie Firmware nicht funktionierende WLAN. Auch einige Chips für kabelgebundenes Internet verlangen nach unfreier Software. Ebenso brauchen unsere CPUs zum einwandfreien Betrieb unfreien Microcode. Diese Tatsachen werden aus politischen Gründen auf debian.org nicht erwähnt, ebenso wenig wie die Existenz offizieller Images, die diese Probleme bei der Installation lösen helfen. Eine endgültige Lösung dieser Probleme in Debian ist nicht in Sicht, dazu gehen die Ansichten darüber bei den Entwicklern zu sehr auseinander. Eine Lösung für die nächsten Jahre könnte wohl nur, wie von Debian-Urgestein Ian Jackson leise angedeutet, eine neue General Resolution sein.

  • Debian GNU/Linux 9.2.1 beseitigt Fehler

    Debian GNU/Linux 9.2.1 beseitigt Fehler

    Debian GNU/Linux 9.2.1
    By: Mohd SohailCC BY-SA 2.0

    Das Debian-Projekt hat am Wochenende neue Images für seine DVD- und BluRay-Ausgaben veröffentlicht. Dies war notwendig geworden, da die entsprechenden Abbilder, die nach Veröffentlichung von Debian 9.2 vor einer Woche erschienen waren, einen Fehler aufwiesen. Am Tag der Veröffentlichung von Debian GNU/Linux 9.2 lagen keine aktuellen Daten von Popcon vor, die normalerweise für die sortierte Verteilung der Pakete auf die einzelnen Datenträger sorgt. Das teilte jetzt das Debian-Release-Team mit.

    Der Debian Popularity Contest

    Popcon steht für den »Debian Popularity Contest«, eine Datenbank, die die jeweils aktuelle Beliebtheit aller in Debian enthaltenen Pakete enthält. Popcon sammelt per Opt-in auf installierten Systemen Daten über die dort installierten Programme und erstellt daraus eine Statistik. Werden neue Abbilder erstellt, zieht das Build-System diese Daten heran um sicherzustellen, dass möglichst jeder Anwender nicht mehr als zwei oder drei von insgesamt 14 DVDs herunterladen muss um die von ihm bevorzugten Anwendungen zu erhalten.

    Kleiner Fehler – große Wirkung

    Das Fehlen aktueller Daten von Popcon wurde bei der Produktion der Abbilder für Debian 9.2 übersehen. Somit war die Sortierung nicht auf dem neuesten Stand. Das mag wie ein vergleichsweise kleiner Fehler erscheinen, bedenkt man den Aufwand der Produktion neuer Images. Dabei gilt es aber zu bedenken, dass vielerorts auf der Welt Internet-Anschlüsse wenig Bandbreite bieten. Dadurch macht es für viele Anwender einen Unterschied, ob sie drei oder vier DVDs herunterladen müssen.

    Nur DVD und BluRay betroffen

    Neben der Produktion neuer Abbilder für die Version 9.2.1 soll eine Anpassung der Build-Scripte dafür sorgen, dass sich dieser Fehler nicht wiederholen kann. Anwender, die Debian bereits installiert haben sind von diesem Fehler nicht betroffen. Ebenso wenig betrifft das Malheur die Nutzer der Debian-Live-Medien oder der Netinstall-Abbilder. Der Download der aktualisierten Images ist auf der Ankündigung der Veröffentlichung verlinkt.

  • Debian GNU/Linux 9.2 freigegeben

    Debian GNU/Linux 9.2 freigegeben

    Debian GNU/Linux 9.2
    By: Juliette Taka Belin unter GPL-2.0+

    Das Debian-Projekt hat die zweite von mehreren Aktualisierungen von Debian 9 Stretch, dem derzeit stabilen Zweig des Projektsfreigegeben. Diese Veröffentlichung fügt vor allem Korrekturen für Sicherheitsprobleme hinzu, zusammen mit Anpassungen für kritische Fehler in Anwendungen. Debian Security Advisories für die Sicherheitsprobleme wurden bereits separat veröffentlicht. Das berichten heute die Debian-News. Debian 9 Stretch wurde Mitte Juni freigegeben, die erste Aktualisierung fand Ende Juli statt. Debian 10 wird für 2019 erwartet.

    151 Änderungen

    Für die jetzt vorgenommene Aktualisierung auf Debian 9.2 wurden 151 Änderungen eingefügt, wovon 87 Fehler in Anwendungen korrigieren während 64 Sicherheitsprobleme beheben. Fehler wurden unter anderem in den Paketen apt, debian-installer, flatpak, gnupg2, kdepim, ncurses, nvidia-graphics-drivers, openvpn, samba und vim behoben. Zudem wurde der Kernel auf 4.9.0-4 angehoben.

    Browser liegen vorne

    Bei den Sicherheitsupdates liegen wie so oft die Browser vorne. So wurden in Firefox-ESR drei Sicherheitsprobleme behoben, denen die Advisories DSA-3881, DSA-3928  und DSA-3987 zugeordnet sind. Auch Chromium-Browser kommt mit DSA-3926 und  DSA-3985 auf zwei sicherheitskritische Fehler. Weitere sicherheitsrelevante Änderungen betreffen unter anderem Apache2, Icedove, den Kernel und Samba. Das Paket clapack wurde entfernt.

    Durch einen Fehler bei der Vorbereitung dieses Point-Release wurde die Aktualisierung des Pakets base-files vergessen, das in der Versionsinformation das Update reflektieren sollte. Ein aktualisiertes Paket wird per stretch-update demnächst nachgeliefert. Anwender, die ihr System häufiger aktualisieren werden die meisten Änderungen bereits eingespielt haben.

    Zeitnah aktualisieren

    Allen anderen Anwendern wird zur zeitnahen Aktualisierung über das Paketmanagement geraten. Debian GNU/Linux 9.2 steht ab sofort auf dem Debian-Server sowie den offiziellen Spiegelservern zum Bezug bereit. Für neue Installationen werden in den nächsten Tagen aktualisierte Images auf den Download-Servern zur Verfügung stehen. Weitere Informationen zu Debian GNU/Linux 9 sind in der offiziellen Release-Information nachzulesen. Aktualisierte Images werden in den nächsten Tagen bereitstehen.

     

     

     

     

     

  • Debian 10 bereitet sich auf Wayland vor

    Debian 10 bereitet sich auf Wayland vor

    Debian Swirl
    By: Mohd SohailCC BY-SA 2.0

    Nachdem erst vor wenigen Tagen die erste Alpha-Version des Debian Installers für Debian 10 Buster vorgestellt wurde, fiel jetzt einem Leser der Webseite Phoronix auf, dass bereits seit einem Monat für Debian Unstable und Testing Wayland als Standardsitzung für den Display-Manager voreingestellt ist.

    Am 6. August hatte Jeremy Bicha, der einst Ubuntu GNOME ins Leben gerufen hatte, das Paket gnome-session 3.24.1-1  nach Debian Unstable hochgeladen. Dort steht die unscheinbare Zeile * debian/rules: Switch default "gnome" session to wayland , die den Umstieg von Debian auf das neue Display-Protokoll Wayland einleiten. Somit sind die Weichen gestellt, dass die nächste Debian-Version mit der Versionsnummer 10 und dem Codenamen Buster zumindest in der Standardausführung mit GNOME als Desktop automatisch mit Wayland startet.

    X11 geht langsam in Rente

    Damit geht die Ära des 1984 am MIT in Boston entwickelten X Window System dem verdienten Ende entgegen. Schon lange ist X11 nicht mehr zeitgemäß. Es ist heute ein schwer wartbarer Flickenterppich aus Patches, die wiederum mit Patches versehen sind. Das heißt aber nicht, dass der X.org-Server damit in der Versenkung verschwinden wird, er wird uns vielmehr noch einige Jahre als Rückfalllösung erhalten bleiben. So wird er auch bei Debian 10 Buster als Alternative vorinstalliert sein. 

    Wayland als Standard für Debian 10 Buster

    Das Wayland-Protokoll, das seit rund zehn Jahren entwickelt wird, beginnt langsam, in den Linux-Distributionen Fuß zu fassen. Fedora 25 hat als Vorreiter Wayland vor rund einem Jahr zum Standard erhoben. In wenigen Wochen wird auch Ubuntu mit 17.10 den Schalter umlegen. Dabei hatte Canonical zunächwst Wayland veteufelt und mit Mir einen Sonderweg eingeschlagen. Diesen gab das Ubuntu-Unternehmen dann im Frühjahr wieder auf.

    Bei Debian dauert es mit Wayland in der stabilen Ausgabe der Distribution noch etwas, denn Debian 10 Buster erscheint nicht vor 2019. Anwender der Zweige Testing und Unstable mit GNOME Shell 3.24 arbeiten allerdings bereits jetzt mit Wayland.