Debian 9 verbessert die Sicherheit auf vielen Gebieten und bringt Firefox und Thunderbird zurück.

Rund 26 Monate nach Debian 8 “Jessie” erschien am 17. Juni mit Debian 9 “Stretch” [1] eine neue Inkarnation einer der ältesten und einflussreichsten Distributionen und die einzige der Großen, hinter der kein Unternehmen steht.

Das Projekt widmet das Release dem Gedenken an seinen Gründer Ian Murdock [2], der im Dezember 2015 verstarb. Er gab Debian nicht nur einen Teil seines Namens, sondern auch die Ideen zur gesellschaftlichen Ausrichtung, die noch heute von Anwärtern auf den offiziellen Entwicklerrang neben den technischen Fähigkeiten abgefragt werden. Der Gesellschaftsvertrag, dessen erste Regel “Debian wird immer zu 100 Prozent frei bleiben” lautet, und die “Debian Free Software Guidelines” bestimmen noch heute den grundsätzlichen Weg, den das Projekt beschreitet.

Den Anspruch als “universelles Betriebssystem” unterstreichen die Entwickler auch mit Debian 9 wieder, indem sie das System für nicht weniger als zehn Architekturen bereitstellen. “Stretch” unterstützt neben i386 und amd64 auch arm64, armel, armhf, mips, mips64el, mipsel, ppc64el sowie s390x und läuft damit auf unterschiedlichster Hardware. Neben Anwendern, die keine brandneue Software brauchen und Debian als stabile Desktop-Distribution nutzen, kommt das Gros der Nutzer aus den Bereichen Server, Mini-Computer und eingebettete Geräte.

Debian wirkt manchmal etwas altmodisch, weil Stabilität oberste Priorität genießt. Darüber hinaus erneuert sich das Projekt ständig – und oft unter heftigen Geburtsschmerzen. Die letzte dieser Reinkarnationen war die Umstellung von SysVinit auf Systemd und stellte das Projekt auf eine harte Zerreißprobe. Der Wunsch nach einer zukunftsträchtigen Lösung gewann schließlich die Oberhand, und Debian 8 brachte mit Systemd die größte und umstrittenste Änderung seit Bestehen der Distribution. Nach dem Motto, dass Totgesagte länger leben, fährt Debian bis heute gut mit dieser Entscheidung.

Das universelle Betriebssystem

Mit ähnlich revolutionären Änderungen kann Debian 9 nicht aufwarten. Trotzdem bietet auch das jüngste Release einige einschneidende Neuerungen. Doch zunächst einmal zu Brot und Butter: Debian 9 baut auf Kernel 4.9 LTS, Systemd 232-25 (Abbildung 1) und einem X-Server 7.7 auf. Die GNU Compiler Collection liegt in Version 6.3 bei. Als Bootmanager kommt Grub 2.0.2 zum Einsatz (Abbildung 2).

Abbildung 1: Mit Kernel 4.9 LTS und Systemd 232 setzt Debian 9 auf eine solide Basis.

Abbildung 2: Der Bootmanager Grub hat ein neues Design erhalten, das auf den Namen Softwaves hört.

Die Aktualität der Software in einer stabilen Veröffentlichung von Debian hängt unter anderem von der Dauer der Freeze-Periode ab. Während dieser letzten Entwicklungsphase gelangen neue Versionen von Paketen nur noch in Ausnahmefällen in den “Testing”-Zweig, der schließlich zur neuen stabilen Version wird.

Das Einfrieren der Paketbasis für Debian 9 begann am 8. November 2016. Damit beträgt das Alter der meisten Software in der neuen Veröffentlichung über sieben Monate, mit Ausnahme wichtiger Online-Anwendungen wie etwa Firefox-ESR 52.2 (Abbildung 3), Thunderbird 45.8 und Chromium 59, die die Entwickler aus Sicherheitsgründen möglichst aktuell halten.

Abbildung 3: Firefox und Thunderbird kehren als Originale mit Debian 9 zurück.

Der Versionszähler von LibreOffice steht bei Ausgabe 5.2, alternativ gibt es Calligra 2.9. Besonders Betreiber von Webservern freuen sich über einen aktuellen Stack: In den Paketquellen finden sich Apache 2.4.25, PHP 7.0, Python 3.5 und Perl 5.24. Zudem markiert Debian 9 den Umstieg von GnuPG v1 auf GnuPG v2.

Seit der Veröffentlichung von Debian 8 wuchs die Distribution um 15?346 Pakete an und führt jetzt 51?687 Pakete im Bestand, die aus rund 25?*000 Quellpaketen stammen. Im gleichen Zeitraum aktualisierten die Debian-Entwickler fast 30?000 Pakete oder 57 Prozent des Bestands, zudem entfernten sie 6739 Pakete aus unterschiedlichen Gründen aus der Distribution. Mit “Stretch” kehren Firefox und Thunderbird in Debian zurück, nachdem sie aus lizenzrechtlichen Gründen rund ein Jahrzehnt in eigenen Versionen als Iceweasel und Icedove beilagen.

Desktop satt

Bei den Desktop-Umgebungen hinkt Debian 9 kaum zurück. Der Standard-Desktop Gnome 3.22 (Abbildung 4) bringt alternativ eine Wayland-Sitzung mit, bei KDE Plasma 5.8 handelt es sich um eine langzeitunterstützte Version, die noch mindestens zwei Aktualisierungen erhält. Die KDE-Applications stehen bei 16.08, die PIM-Anwendungen liegen mit Version 16.04 etwas zurück (Abbildung 5). Darüber hinaus gibt es in den Paketquellen XFCE 4.12, Maté 1.16 (Abbildung*6) sowie die schlanken Desktops LXQt 0.11 (Abbildung 7) und LXDE.

Abbildung 4: Als Standard-Desktop für Debian 9 dient Gnome 3.22.

Abbildung 5: KDE Plasma 5.8 verbraucht nach dem Start rund 700 MByte Hauptspeicher.

Abbildung 6: Der Maté-Desktop präsentiert sich (wie auch LXQt) erstmals in einer stabilen Debian-Veröffentlichung.

Abbildung 7: Der Neuzugang LXQt lässt vom Design her noch Raum für Verbesserungen.

Neben den normalen Aktualisierungen gab es aber auch bedeutende Änderungen, die verschiedene Anwendergruppen betreffen. Server-Betreiber dürfte interessieren oder gar alarmieren, dass statt MySQL nun das seit Debian 8 verfügbare MariaDB [3] als Datenbankverwaltungssystem dient. Das liegt daran, dass Debian den Entwicklern von MariaDB in Sachen Transparenz und Sicherheit mehr vertraut als Oracle. Der Wechsel geschieht während des Upgrades zu “Stretch”.

Vor einem Umstieg sollten Sie auf jeden Fall die auf dem System genutzten Datenbanken sichern, da MariaDB ein anderes binäres Format verwendet als MySQL. Ohne Backup gäbe es bei Problemen keinen Weg zurück zu MySQL. Anwender, die bei MySQL bleiben möchten, sollten vor dem Upgrade MySQL auf die Version aus Debian “Unstable” aktualisieren: Damit entgehen Sie dank höherer Versionsnummer der Umstellung. Möchten Sie zu MariaDB wechseln, dann lässt sich der Datenbank-Server weiterhin mit MySQL Workbench warten und administrieren. Mysqldump hilft, die Datenbank vor dem Wechsel zu sichern.

Weniger Root

Einen Zugewinn in Sachen Sicherheit bringt die Möglichkeit, den X-Server nun auch ohne Root-Rechte laufen zu lassen – sofern Sie GDM als Anmelde-Manager verwenden. Um das zu ermöglichen, entfernten die Entwickler beim X-Server das Setuid-Bit [4]. Die bereits erwähnte alternative Wayland-Sitzung, die sich beim Anmelden in Gnome nach Auswahl des jeweiligen Users über das kleine Rädchen auswählen lässt, wurde bei der Entwicklung bereits bewusst für den Betrieb im User-Kontext ausgelegt.

Eine weitere sicherheitsrelevante Neuerung: Anstelle des Firewall-Scripts Iptables [5] können Sie jetzt Nftables [6] aus dem Netfilter-Projekt zur Definition von Filterregeln heranziehen. Die Syntax dürfte besonders Admin-Neulingen leichter fallen, insgesamt macht die neue Firewall in der Handhabung einen einfacheren Eindruck.

Mit dem seit 2013 mit Kernel 3.13 verfügbaren Nftables lassen sich zum Beispiel mehrere Aktionen in einer Regel zusammenfassen. Zudem braucht es weniger häufig Kernel-Updates, somit sinken die Ausfallzeiten aufgrund von Wartungsaktualisierungen von Debian-Servern. Eine Kompatibilitätsschicht kümmert sich um das Anpassen bereits bestehender Iptables-Regeln, wie die Anleitung zum Umstieg verrät [7].

Mehr Sicherheit

Bauen Sie Pakete selbst, dann profitieren Sie mit Debian 9 von einem weiteren Sicherheitsaspekt, den seit einigen Jahren vorangetriebenen Reproducible Builds [8]. Das Ziel: Jedermann soll jederzeit bitgenau identische Binärpakete eines gegebenen Quelltexts bauen können. Mittlerweile lassen sich über 90 Prozent der Pakete in den Debian-Archiven auf diese Weise reproduzieren und somit überprüfen.

Ein wichtiges Thema während der Entwicklung zu “Stretch” stellte auch der Umstieg auf die “moderne Variante” von GnuPG dar, wie die GPG-Entwickler die neue Version 2 nennen. Die jetzt implementierte Version 2.1 bietet durch Verwendung elliptischer Kurven modernere Kryptografieverfahren sowie sinnvollere Standardeinstellungen, eine modular ausgelegte Architektur und verbesserte Smartcard-Unterstützung.

Alte Zöpfe abgeschnitten

Einige Änderungen sollten Sie kennen, bevor Sie eine Installation angehen. So unterstützt die i386-Architektur für 32-Bit-x86-PCs nur noch Systeme mit einem i686-Prozessor. Laut Release Notes [9] muss eine CPU für “Stretch” die Flags FPU, TSC, CX8 und CMOV unterstützen. Der Schnitt geht weit in die Vergangenheit, alle CPUs ab Pentium Pro laufen jedoch auch unter Debian 9. Bei i586-CPUs gibt es eine Ausnahme: AMDs Geode-Plattform läuft trotzt i586-Prozessor auch mit “Stretch”.

Für Anwender mit Geräten auf Basis des Intel-Grafikchips ab der 4. Generation (“Haswell”, seit 2004), vollzieht Debian einen Wechsel im standardmäßig verwendeten Grafiktreiber. Bei diesen Chips nutzt Debian 9 nicht mehr den offiziellen Intel-Treiber, sondern den generischen Kernel-Modesetting-Treiber [10]. Den Anlass dazu gab, dass Intel den Grafikkarten-Treiber seit Jahren vernachlässigt und keine Updates mehr veröffentlicht. Dadurch kommt es bei diversen Desktops und Anwendungen zu Darstellungsfehlern. Der Nachteil des Modesetting-Treibers: Er benötigt eine unfreie Firmware, um alle Funktionen der Intel-Chips zu nutzen. Bei Bedarf lässt sich der Herstellertreiber über das Paket xserver-xorg-video-intel jedoch weiter installieren.

Apt vereinfacht

Der Paketmanager Apt hat während der Entwicklung zu “Stretch” einige Verbesserungen erfahren, die größtenteils auch für Aptitude gelten. Apt verwirft jetzt standardmäßig schwächere Prüfsummen wie SHA1 [11]. Zudem versucht die überarbeitete Paketverwaltung mit weniger Root-Rechten auszukommen, indem sie die Root-Privilegien abgibt, bevor sie Dateien von Spiegelservern herunterlädt. Hierbei kommt es ab und an zu informativen Warnungen, wenn Apt auf die alte Methode zurückfällt.

Apt 1.1 enthält zudem eine neue Pinning-Engine, die das Festpinnen eines Pakets jetzt pro Version vornimmt und nicht mehr generell für das Paket. Die Warnungen bezüglich eines hash sum mismatch, die bisher immer dann auftraten, wenn ein Update zufällig mit einer Aktualisierung der Spiegelserver zusammenfiel, sollten bei Debian-Repositories künftig nicht mehr auftreten.

Anstelle von apt-get gibt es nun auch das vereinfachte apt. So wird beispielsweise aus apt-get update vereinfacht apt update (Abbildung 8). In Skripten sollten Sie jedoch weiterhin das klassische Apt-get nutzen. Die Manpage zu Apt erläutert, welche Befehle das neue Kommando unterstützt.

Abbildung 8: Der Befehl apt bietet gegenüber apt-get eine vereinfachte Handhabung.

Kryptische Namen

Einiges Missfallen verursachte die Umbenennung der Netzwerkschnittstellen. Die bisher bekannten Bezeichner wie eth0 oder wlan0 gibt es nicht mehr, da sie zu inkonsistent waren und sich die Benennung von Netzwerkgeräten von einem Boot zum nächsten oft änderte. Die neuen Bezeichner verwenden die von der Firmware beziehungsweise vom BIOS bereitgestellten Informationen sowie die Nummern der PCI-Steckplätze, woraus Schnittstellennamen wie enp1s1 oder wlp2s0 resultieren.

Mit dieser Art der Vergabe lassen sich per USB angeschlossene Netzwerk-Geräte ins System einbinden, ohne dabei einen eigentlich belegten Schnittstellennamen abzugreifen. Diese Regelung betrifft nur Neuinstallationen, aktualisierte Installationen verwenden weiterhin /etc/udev/rules.d/70-persistent-net.rules als Grundlage der Benennung. Die Namen der Netzwerkschnittstellen bleiben beim Upgrade somit erhalten.

Der Debian-Installer erfährt fortlaufend Weiterentwicklungen und erhielt auch in diesem Zyklus wichtige Neuerungen. Die Unterstützung für die PowerPC-Architektur entfiel, während mips64el hinzukam. Zudem verbesserten die Entwickler die Unterstützung für UEFI-Boot und ermöglichten die Installation mit einem 64-Bit-Kernel auf 32-Bit-UEFI-Firmware. Secure Boot unterstützt der Installer noch nicht, diese Funktionalität will man möglicherweise über Updates nachreichen. Der Installer unterstützt jetzt HTTPS, sodass sich Pakete nun auch verschlüsselt von Spiegelservern herunterladen lassen.

Debian 8 “Jessie” erhält nun noch ein weiteres Jahr herkömmliche Updates, es folgen weitere zwei Jahre Support vom Debian-LTS-Team. Es besteht also kein Zugzwang, sofort auf “Stretch” zu aktualisieren. Sollten Sie ein System zeitnah auf den aktuellen Stand bringen wollen, dann empfiehlt es sich zunächst, sämtliche Updates auf Debian 8.8 einzuspielen und erst dann den entscheidenden Schritt zu tun. Die Release Notes vermitteln hierzu im Anhang A wichtige Informationen, die Sie vorab lesen sollten.

Fazit

Bei jeder Veröffentlichung von Debian erstaunt erneut, wie es einer über den Erdball verstreuten Gruppe von rund tausend Individuen ohne eine richtungweisend Autorität gelingt, eine der besten Linux-Distributionen herauszugeben. Debian steht besonders bei Server-Betreibern hoch im Kurs, doch auch auf den Desktops von Millionen von Anwendern läuft Debian “Stable” oder eines der mittlerweile fast 400 Derivate.

Sogar auf dem Raspberry Pi stellt Debian mit dem ARM-Ableger Raspbian den Standard. Hinzu kommen unzählige eingebettete Geräte, die eine der zehn unterstützten Architekturen verwenden. Mit Maté und LXQt (Abbildung 9) enthalten die Paketquellen von “Stretch” nun gleich zwei genügsame neue Desktop-Umgebungen. Debian darf sich daher ohne Zweifel als universelles Betriebssystem bezeichnen.

Abbildung 9: LXQt begnügt sich nach dem Start beim Hauptspeicher etwa mit der Hälfte des von Plasma belegten RAM.

Die Veröffentlichung von Debian 9 “Stretch” stellt eine wichtige Aktualisierung dar, die einige sicherheitsrelevante Neuerungen sowie Weiterentwicklung und Erleichterung auf vielen Gebieten bringt. Die Entwickler arbeiten bereits an Debian 10 (benannt nach Buster, dem vierbeinigen Freund Andys aus den Toy-Story-Filmen), das in rund zwei Jahren mit neuen Entwicklungen zur Veröffentlichung ansteht.