Kategorie: Debian

Wer in Debian aktuell ein Repository aus dritter Hand in die Quellenliste eintragen will, sieht sich oft mit einem Dilemma konfrontiert. Das Projekt, dessen Repo integriert werden soll, schlägt oft vor, den OpenPGP-Schlüssel, der die Authentizität des Repos bescheinigt, per apt-key zu importieren. Dieser Methode wird aber, wie ich bereits dargelegt habe, nicht mehr vertraut und wird ab Mai 2022 weder in Debian Unstable noch in Ubuntu funktionieren. Bereits seit einiger Zeit löst dies eine Warnung aus:

Warning: apt-key is deprecated. Manage keyring files in trusted.gpg.d instead (see apt-key(8))

Fehleranfällig

Das Debian-Wiki schlägt anstatt /etc/trusted.gpg.d alternativ /usr/share/keyrings vor. Da OpenPGP-Keys von Repositories aus dritter Hand in der Regel mit der Methode ASCII-Armor versehen sind, soll diese Verpackung vorzugsweise bereits während des Downloads entfernt werde. In Befehlsform sieht das beispielsweise auf der Webseite für den Signal-Messenger, die bereits angepasst wurde, dann so aus:

wget -O- https://updates.signal.org/desktop/apt/keys.asc | gpg --dearmor | sudo tee /usr/share/keyrings/signal-archive-keyring.gpg

Dann muss noch der Eintrag für die Quellenliste erstellt werden:

deb [signed-by=/usr/share/keyrings/signal-archive-keyring.gpg] https://updates.signal.org/debian/ stable main

Nicht sehr anwenderfreundlich, dafür aber fehleranfällig. Debian- und Ubuntu-Entwickler Andreas Klose hat in einem Blogeintrag jetzt unter anderem eine Idee skizziert, die bisher nur als Merge-Request existiert. Die Hauptrolle spielt dabei DEB822, ein Format für Quellenangaben, das mir durch den Blogeintrag erstmals unterkam. Dabei handelt es sich um Blöcke in der Quellenliste, die ein Repository beschreiben und gleich den öffentlichen Schlüssel enthalten. Sie enden nicht wie üblich in .list, sondern haben.sources als Endung. Ein solcher Eintrag könnte künftig so aussehen:

Types: deb
URIs: https://updates.signal.org/desktop/apt
Suites: stable
Components: main
Signed-By:
 -----BEGIN PGP PUBLIC KEY BLOCK-----
 mQINBFjlSicBEACgho//0EzxuvuCn01LwFqGAgwPKcSSl4L+AWws5/YbsZZvmTBk
ggIiVOCIMh+d3cmGu5W3ydaeUbWbFGNsxO44EB5YBZcuLa5EzRKbNPVaOXKXmhp+
w0mEbkoKbF+3mz3lifwBnzcBpukyJDgcJSq8cXfq5JsDPR1KAL6ph/kwKeiDNg+8
oFgqfboukK56yPTYc9iM8hkTFdx9L6JCJaZGaDMfihoQm2caKAmqc+TlpgtKbBL0
...
 -----END PGP PUBLIC KEY BLOCK-----

Demnächst vielleicht in APT 2.4 verfügbar

Wenn dann die Anbieter von Repos aus dritter Hand diese Methode aufgreifen, ist das Einbinden eines solchen Archivs mit dem Einfügen des Eintrags im DEB822-Formats in /etc/apt/sources.list.d/ erledigt. Ein Befehl wie apt add-source könnte das in einem Rutsch erledigen. Das neue Quellenformat wird, wenn Kloses Merge-Request akzeptiert wird, mit Apt 2.3.x oder 2.4 verfügbar sein. Zudem lernen wir aus Kloses Blog, dass ein Ersatz für OpenPGP auf der Basis von Ed25519 in Arbeit ist, der in kürzeren und sichereren Schlüsseln resultiert und derzeit auf den Namen aptsign hört.

Die Entwickler vom Debian Release Team haben Debian Installer in Version 11 RC 2 freigegeben. Zudem wurde der 31. Juli als vorläufiger Release-Termin für Debian GNU/Linux 11 »Bullseye« festgelegt. Als letzte Aktualisierung vor Debian 11 erscheint am 19. Juni zudem Debian 10.10 »Buster«.

Vorläufiger Termin

Die Veröffentlichung von Debian 11, die vermutlich am 31. 7. stattfindet, erweitert den Software-Bestand erheblich im Vergleich zum Vorgänger Debian 10 »Buster«. Die Distribution erhielt über 13.370 neue Pakete und erreicht damit eine Gesamtzahl von 57.703 Paketen. Der größte Teil der Software in der Distribution wurde aktualisiert: 35.532 Software-Pakete (das sind 62 % aller Pakete in Buster). Außerdem wurde eine beträchtliche Anzahl von Paketen (7278, 13 % der Pakete in Buster) aus verschiedenen Gründen aus der Distribution entfernt.

Debian 11 unterstützt 9 Architekturen:

• 32-bit PC (i386)
• 64-bit PC (amd64)
• 64-bit ARM (arm64)
• ARMv7 (EABI hard-float ABI, armhf)
• little-endian MIPS (mipsel)
• 64-bit little-endian MIPS (mips64el)
• 64-bit little-endian PowerPC (ppc64el)
• IBM System z (s390x)

Testen, testen,testen…

Abbilder zum Test des mit der aktuellen Version von Linux 5.10 LTS ausgestatteten Debian Installer in Version 11 RC 2 stehen auf dem Download-Server von Debian in allen unterstützten Architekturen bereit. Vorläufige Release Notes sind ebenfalls verfügbar. In den Wochen bis zur Veröffentlichung geht es, wie gestern bereits angemerkt, hauptsächlich um das Schließen von 154 RC Bugs, die nach heutigem Stand die Veröffentlichung von Debian 11 verhindern würden. Am 17.7. werden die Bedingungen, Pakete noch in den Testing-Zweig zu bekommen, der schlussendlich zu Debian 11 »Bullseye« wird, mit dem Full Freeze nochmals verschärft. Die Codenamen für die beiden Nachfolger von Bullseye stehen auch bereits fest: Debian 12 heißt »Bookworm«, Debian 13 wird den Beinamen »Trixie« erhalten.

Am 17. Juli tritt Debian in den Full Freeze ein, die vierte und letzte Phase der Vorbereitungen zur Veröffentlichung von Debian 11 »Bullseye«. Das wurde am Wochenende auf der Ankündigungsliste bekannt gegeben. Die Vorbereitungen begannen am 12. Januar mit dem Beginn des Einfrierens der Codebasis. Dabei wird ab diesem Zeitpunkt die Aktivität im Testing-Repository, das beim Release zum Stable-Repository wird, sukzessive eingefroren, um die Software in einen veröffentlichungsfähigen Zustand zu bekommen.

Nur mit Ausnahmegenehmigung

Hauptmerkmal des Full Freeze ist, dass alle Pakete, die in dieser späten Phase noch in das Testing-Repository aufsteigen wollen, um mit Debian 11 veröffentlicht zu werden, einer Ausnahmegenehmigung des Release-Teams bedürfen. Dem Full Freeze voraus geht der Hard Freeze, der am 12. März eingeleitet wurde und der den Paket-Betreuern bereits strenge Regeln für die Paketmigration auferlegt.

Im Hard Freeze wurden wichtige Pakete (key packages) und Pakete ohne autopkgtest wie während des Full Freeze behandelt, während non-key packages mit autopkgtest wie während des Soft Freeze behandelt werden. Mit Eintritt in die letzte Phase muss auch für ein aktualisiertes Nicht-Schlüsselpaket mit bestandenen autopkgtests eine manuelle Entsperrung angefordert werden. Es gibt Ausnahmen von diesen Regeln, ein Leitfaden hierzu steht bereit.

Frostschäden

Am heutigen 14. Juni steht die Zahl der releasekritischen Fehler (RC Bugs) bei 169, wobei über 40 Pakete bereits eine Lösung haben, das Paket aber noch nicht in Testing ist. Sind unter den verbleibenden Paketen mit RC Bugs Nicht-Schlüsselpakete, deren Fehler nicht zeitnah gelöst werden können, so können diese samt ihren umgekehrten Abhängigkeiten (rdepends) für das Release entfernt und später wieder aufgenommen werden.

Nicht mehr weit

Mit dem Eintritt in den Full Freeze beginnt auch die Planung und Festlegung eines Veröffentlichungsdatums, das gewöhnlich rund zwei Wochen vor dem Release bekannt gegeben wird. Nach derzeitigem Stand könnte Debian 11 »Bullseye« im August veröffentlicht werden.

Wie in jedem Jahr um diese Zeit hat das Debian-Projekt einen neuen Projektleiter (DPL) bestimmt, der für mindestens ein Jahr das Projekt verwaltet und in der Öffentlichkeit vertritt. Zu den vielfältigen Aufgaben des DPL gehören unter anderem die Mediation in Teams oder zwischen Teams oder Mitgliedern des Projekts, die Vertretung des Projekts in der Öffentlichkeit bei Vorträgen und Präsentationen, die Übersicht über und Verfügung der Finanzen sowie juristische Angelegenheiten und generell ganz viel Kommunikation.

Jonathan Carter weiterhin Projektleiter

In diesem Jahr stellten sich zwei Kandidaten zur Wahl. Neben dem derzeitigen Amtsinhaber Jonathan Carter, der eine zweite Amtszeit anstrebte, bewarb sich auch die indische Entwicklerin Sruthi Chandran, die sich bereits letztes Jahr um den Posten bemüht hatte.

Die Wahlperiode endete am 17. April. Von den derzeit 1018 wahlberechtigten offiziellen Debian-Entwicklern wurden 558 Stimmzettel abgegeben, 455 davon wurden als gültige Stimmabgaben gewertet. Als Sieger konnte sich der bisherige Amtsinhaber Jonathan Carter durchsetzen, der damit am 21. April seine zweite Amtszeit beginnt. Gewählt wird, wie bei Debian üblich, nach der Condorcet-Methode.

Keine offizielle Stellungnahme

Das Wochenende brachte auch ein weiteres Wahlergebnis. Die Debian-Entwickler waren aufgerufen, in einer Urabstimmung (General Resolution, GR) zu entscheiden, wie sich das Projekt zu dem offenen Brief verhält, der Richard Stallman zum Rückzug von allen leitenden Positionen auffordert. An der Wahl nahmen 463 gültige Stimmzettel teil, die Entwickler hatten über sieben Optionen zu entscheiden. Durchsetzen konnte sich der siebte Vorschlag, der besagt, dass Debian offiziell keine Stellungnahme in dieser Sache abgibt. Entwickler können den offenen Brief aber als Privatperson unterschreiben.