Випущено Дебіан 10: Wayland, безпека й безліч оновлених пакунків

[Олександр Барановський]

6 липня проект Debian представив нову стабільну версію 10 (кодове імʼя «buster»). Розробка цієї версії операційної системи Дебіан тривала 25 місяців, йдеться в повідомленні прес-служби на офіційному сайті проекту. Її будуть підтримувати протягом наступних 5 років спільними зусиллями команди безпеки Дебіан і команди тривалої підтримки Дебіан.

Операційна система Дебіан 10 «buster» містить, зокрема, такі стільничні середовища:

• Cinnamon 3.8,
• GNOME 3.30,
• KDE Plasma 5.14,
• LXDE 0.99.2,
• LXQt 0.14,
• MATE 1.20,
• Xfce 4.12.

У цьому випуску стільничне середовище GNOME типово налаштоване використовувати графічний сервер Wayland замість Xorg. Wayland має простіший і сучасніший дизайн, що дає переваги в безпеці, йдеться в повідомленні. Проте графічний сервер Xorg все ще доступний для типового встановлення і типовий дисплейний менеджер дає змогу користувачам вибрати Xorg як графічний сервер для їхньої наступної сесії.

Завдяки проекту відтворюваних збірок понад 91% джерельних пакунків, включених у Дебіан 10, будуть збиратися в ідентичні з точністю до біта бінарні пакунки. Це важлива верифікаційна особливість, яка захищає користувачів від зловмисних спроб втручатися в компілятори й хмари для збирання пакунків. Майбутні випуски Дебіан міститимуть такі інструменти й метадані, що кінцеві користувачі зможуть підтверджувати походження пакунків в архіві.

Для чутливих до безпеки середовищ типово встановлюється і вмикається AppArmor, фреймворк мандатного контролю доступу, який обмежує можливості програм. До того ж, усі методи, які пропонує APT (за винятком cdrom, gpgv і rsh), можуть факультативно застосовувати пісочницю «seccomp-BPF». Метод https включений у пакунок apt і не потребує окремого встановлення.

У Дебіан 10 «buster» мережева фільтрація ґрунтується на фреймворці nftables типово. Починаючи з iptables версії 1.8.2 бінарний пакунок включає iptables-nft й iptables-legacy, два варіанти інтерфейсу командного рядка iptables. Варіант, що ґрунтується на nftables, використовує підсистему nf_tables ядра Linux. Щоб вибирати між варіантами, можна використовувати систему «alternatives».

Підтримку UEFI («Unified Extensible Firmware Interface» — «уніфікований розширюваний інтерфейс мікропрограм»), запропоновану в Дебіан 7 (кодове імʼя «wheezy»), значно покращено в Дебіан 10 «buster». Цей випуск містить підтримку Secure Boot для архітектур amd64, i386, arm64 і має працювати з коробки на більшості машин з увімкненою технологією Secure Boot. Це означає, що користувачам тепер не треба вимикати підтримку Secure Boot в налаштуваннях мікропрограми.

Пакунки cups і cups-filters встановлюються типово в Дебіан 10 «buster». Це дає користувачам усе, що треба для використання переваг бездрайверного друкування, розповідається у прес-релізі. Утиліта cups-browsed автоматично налаштує мережеві черги друку й IPP-принтери та керуватиме ними. Тому можна обійтися без використання невільних драйверів друку і плаґінів від постачальників.

Дебіан 10 «buster» включає численні оновлені програмні пакунки (понад 62% усіх пакунків з попереднього випуску). Зокрема:

• Apache 2.4.38,
• DNS-сервер BIND 9.11,
• Chromium 73.0,
• Emacs 26.1,
• Firefox 60.7 (у пакунку firefox-esr),
• GIMP 2.10.8,
• набір компіляторів GNU 7.4 і 8.3,
• GnuPG 2.2,
• Golang 1.11,
• Inkscape 0.92.4,
• LibreOffice 6.1,
• Linux 4.19,
• MariaDB 10.3,
• OpenJDK 11,
• Perl 5.28,
• PHP 7.3,
• PostgreSQL 11,
• Python 3 3.7.2,
• Ruby 2.5.1,
• Rustc 1.34,
• Samba 4.9,
• systemd 241,
• Thunderbird 60.7.2,
• Vim 8.1

і понад 59000 інших програмних пакунків, зібраних з приблизно 29000 джерельних пакунків.

Кожен охочий може спробувати операційну систему, не встановлюючи, а використавши спеціальний так званий живий образ. Ці живі образи пропонуються для архітектур amd64 й i386. Образи для безпосереднього встановлення на жорсткий диск можна отримати на різноманітних носіях або через мережу. Користувачам хмар також пропонують попередньо зібрані OpenStack-образи для архітектур amd64 й arm64.

Для більшості конфігурацій інструмент керування пакунками apt автоматично виконає оновлення з попереднього випуску до Дебіан 10. Але розробники рекомендують прочитати примітки до випуску і посібник зі встановлення, щоб ознайомитися з можливими проблемами і дізнатися подробиці про встановлення і оновлення.

Нагадаємо, Дебіан — універсальна операційна система, яку розробляють тисячі добровольців з усього світу, співпрацюючи через інтернет. Її можна використовувати в різноманітних ситуаціях: від настільних систем до нетбуків, від серверів розробки до кластерних систем, а також для серверів баз даних, веб і сховищ.

[Олександр Барановський]

Це переклад найцікавішого з офіційного прес-релізу. Але в цьому випуску багато речей, від яких я дуже далеко, тому не впевнений, як це краще називати українською: Reproducible Builds, build networks, mandatory access control, seccomp-BPF, network filtering, network print queue тощо.

Тому буду вдячний, якщо текст перегляне і поправить хтось, більш компетентний у цих питаннях.

[prapor]

Гарна новина. Переходимо на «десяточку» Mandatory Access control перекладають або як «мандатний» або як «примусовий» контроль доступу. Network filtering та network print queue — мережева фільтрація та черга друку відповідно.

[Миха́йло Даниленко]

reproducible builds - відтворювані (сталі?) збірки/пакунки
build network - ферма? хмара? для збирання пакунків

тут йдеться про те, що якщо вихідний код пакунка не мінявся, результатат команди побудови пакунка має бути абсолютно однаковим (тобто пакунок не має містити рядків на кшталт "мене збудовано 24-01-12 в 6 годин" або випадкових даних)

[prapor]

Спробував Plasma з Wayland. Непогано, але замість індикатора клавіатури — піктограма клавіатури, й ще кілька дрібних неприємностей на зразок піктограм W замість власних піктограм програми.

P.S. Steam запустився, а от Borderlands 2 нічого показати мені так і не спромоглося.

[Олександр Барановський]

prapor, Миха́йло Даниленко, дякую! Виправив.

Network filtering та network print queue — мережева фільтрація та черга друку відповідно.

Network print queue — саме мережева черга друку, а не черга мережевого друку? Правильно я зрозумів?

reproducible builds - відтворювані (сталі?) збірки/пакунки

Я зрозумів суть. Але в оригіналі написано «Thanks to the Reproducible Builds project, …». Я так розумію, хтось у команді Дебіан відповідає за те, щоб пакунки так збиралися. Або, може, йдеться про те, що оскільки така ідея відтворюваних збірок є, дебіанівці теж так роблять. Я зараз виправив так: «Завдяки проекту відтворюваних збірок…». Можна так говорити?

[prapor]

З цього контексту — саме так, мережева черга друку.

[Олександр Барановський]

Якщо зауважень більше немає, прошу модераторів опублікувати новину.