Mithilfe von Deb-get binden Sie mit nur einem Befehl Software aus dritter Hand in Debian, Ubuntu und deren Derivate ein.

Distributionen ermöglichen es gemeinhin, mehr oder weniger bequem Repositories aus dritter Hand einzubinden. Dabei handelt es sich um Softwarearchive, die nicht von der Distribution selbst stammen und die infolgedessen dessen kein Schlüssel absichert. Die Meinungen, ob man solche Repositories überhaupt einbinden soll, gehen stark auseinander. Martin Wimpress, der Entwickler des in diesem Artikel vorgestellten Tools, stellt dazu pragmatisch fest: “Repositories von Drittanbietern existieren. Sie werden nicht verschwinden”.

Der vorausgehende Artikel “Sauber ausgesperrt” in diesem Schwerpunkt beschäftigte sich mit Debians neuer Vorgehensweise beim Einbinden solcher Repositories. Das bisher genutzte Tool Apt-key [1] liefern Debian 12 und Ubuntu 22.10 aus Sicherheitsgründen nicht mehr aus. An seine Stelle tritt bei Debian ein Verfahren, das mehr Handarbeit erfordert als bisher.

Deb-get

Dass diese Tatsache ebenso auf Ubuntu zutrifft, bestätigt auch Martin Wimpress, Hauptentwickler des Mate-Desktops und ehemaliger Chef der Desktop-Sparte von Canonical [2]. Mit Deb-get will er die Installation von Software von Drittanbietern vereinfachen. Dazu bietet das Tool einen kuratierten, stetig wachsenden Softwareindex.

Den Vorgänger von Deb-get veröffentlichte Wimpress bereits 2015 als grafische Anwendung unter dem Namen Software Boutique für Ubuntu Mate. Das im Mai 2022 erstmals veröffentlichte Deb-get dient quasi als Apt-get für Fremd-Repositories. Es erleichtert in vielen Fällen das im Artikel zu Apt-key beschriebene Vorgehen, indem es Schlüsselablage und Installation der Anwendung auf wenige Befehle reduziert. Allerdings funktioniert das nicht mit allen Derivaten. Das auf Debian Sid basierende Siduction unterstützt die Software ebenso wenig wie das auf Ubuntu basierende Tuxedo OS.

Darüber hinaus installiert Deb-get nur dafür angepasste Anwendungen. Davon gibt es allerdings mittlerweile eine stattliche Liste; sie umfasst größere Programme wie Anydesk, Bitwarden, Chrome, Docker-Desktop, Enpass oder Nextcloud-Desktop und viele kleine Tools wie die blitzschnelle Desktop-Suche Fsearch, die VPN-Anwendung Mullvad, Portmaster, und als neuesten Zugang das ebenfalls in dieser Ausgabe vorgestellte Frontend für Apt namens Nala.

Derzeit lassen sich rund 200 Apps per Deb-get installieren, die Community sorgt zudem beständig für Nachschub. Die angebotenen Apps stammen aus verschiedenen Quellen: Neben auf Webseiten angebotenen DEBs zum Herunterladen oder solchen, die ein Repository für Debian anbieten, gehören auch auf Github und als PPA gehostete Programme dazu. Auf der Github-Seite des Projekts finden Sie eine Liste der installierbaren Apps inklusive ihrer Quellen [3].

Installation

Zwei Wege führen zum Ziel. Einer davon verwendet Curl, mit dem Sie die App herunterladen und installieren. Nutzer von Ubuntu müssen dazu zunächst Curl bereitstellen und dann damit die App herunterladen und installieren (Listing 1, erste zwei Zeilen). Alternativ laden Sie das DEB-Paket herunter und installieren es (Zeile 3). Damit steht Deb-get zum Einsatz bereit. Die Steuerbefehle entsprechen in weiten Teilen denen für Apt (siehe Tabelle “Befehle für Deb-get”).

$ sudo apt install curl
$ curl -sL https://raw.githubusercontent.com/wimpysworld/deb-get/main/deb-get | sudo -E bash -s install deb-get
$ sudo apt install /Pfad/zum/Paket.deb

Als erste Amtshandlung führen Sie deb-get update aus (Abbildung 1). Das kombiniert apt update mit der Aktualisierung von Deb-get sowie eventuell bereits vorher installierten Apps aus der Liste der unterstützten Anwendungen. Diese weist die Software dabei gesondert aus. Alle verfügbaren Befehle zeigt der Aufruf deb-get help an. Eine Liste aller verfügbaren Apps erhalten Sie mit deb-get list. Auch diese Liste markiert die bereits vorher installierten Apps (Abbildung 2).

Abbildung 1: Das Update bei Deb-get bezieht auch die Aktualisierung der Standard-Repositories mit ein.

Abbildung 2: Der Parameter list zeigt alle unterstützten Apps und markiert bereits installierte gesondert.

Um nun eine App aus der Liste zu installieren, beispielsweise den Webbrowser Chrome, verwenden Sie den Befehl deb-get install google-chrome-stable (Abbildung 3). Die per Deb-get installierten Pakete lassen sich per deb-get update und deb-get upgrade aktualisieren und mit ähnlichen Befehlen wie bei Apt auflisten, suchen oder löschen.

Abbildung 3: So schnell lässt sich Googles Browser Chrome sonst nicht installieren.

All das funktioniert, wie es soll. Die Installation von Software aus Repositories aus dritter Hand reduziert sich damit auf einen kurzen Befehl, wo Sie ansonsten mehrere lange Instruktionen von der Webseite der Software in die heimische Konsole kopieren und ausführen müssten.

Pferdefuß

Bei genauerem Hinsehen fiel uns dann doch noch ein Pferdefuß auf. Dabei geht es um die eingangs erwähnten GPG-Schlüssel zum Absichern der Repositories. Die legte Deb-get im Test noch in /etc/apt/trusted.gpg oder /etc/apt/trusted.gpg.d ab, statt im künftig empfohlenen Verzeichnis /usr/share/keyrings (Abbildung 4). Das galt auch für Apps wie den Signal-Desktop, die auf ihrer Webseite bereits das korrekte Verfahren zum Import der Schlüssel anbieten. Betroffen sind auch die Einträge in der Quellenliste: Auch hier kommt noch nicht die empfohlene Option signed-by (Listing 2) zur Anwendung.

Abbildung 4: Deb-get legte im Test die GPG-Schlüssel noch in das nicht mehr empfohlene Verzeichnis trusted.gpg.d/ ab.

deb [arch=amd64 signed-by=/usr/share/keyrings/signal-archive-keyring.gpg] https://updates.signal.org/debian/ stable main

Der Autor erstellte deshalb einen entsprechenden Fehlerbericht [4]. Nach einer Unterhaltung mit den Entwicklern auf Discord sagten diese Abhilfe zu. Binnen drei Tagen wurde das Problem beseitigt und der Bugreport geschlossen [5]. Die kommende Version legt die Schlüssel nun richtig ab. Das Projekt demonstriert damit eine der Stärken von Open Source gegenüber proprietären Systemen, wo solch eine Änderung zuweilen Wochen oder oder gar Monate dauert.

Wenn Ihnen Anwendungen im Fundus von Deb-get fehlen, dann reichen Sie am besten auf Github eine Anfrage mit einigen Angaben zu der gewünschten App ein [6]. Alternativ liefern Sie gleich ein fertiges Rezept dazu (ein Beispiel dafür zeigt Listing 3), was den Entwicklern Arbeit erspart.

function deb_nala() {
  ARCHS_SUPPORTED="amd64 arm64 armhf i386"
  GPG_KEY_URL="https://deb.volian.org/volian/scar.key"
  APT_LIST_NAME="nala"
  APT_REPO_URL="deb [arch=${HOST_ARCH}, signed-by=/usr/share/keyrings/${APT_LIST_NAME}-archive-keyring.gpg] http://deb.volian.org/volian/ scar main"
  PRETTY_NAME="Nala"
  WEBSITE="https://gitlab.com/volian/nala"
  SUMMARY="Commandline frontend for the APT package manager for Ubuntu 22.04 / Debian Sid and newer."
}

Fazit

Deb-get hilft beim Installieren von Anwendungen aus dritter Hand. Gerade unerfahrene Linux-Nutzer tun sich oft schwer mit den Anleitungen zum Einrichten eines Pakets oder dem Einbinden eines Repositorys auf Webseiten oder auf Github. Auch die Sicherheit solcher Handreichungen lässt sich von Einsteigern schlecht einschätzen. Hier leistet die kuratierte App-Liste von Deb-get wertvolle Unterstützung. Kurz vor der Freigabe steht das derzeit noch in der Beta-Phase befindliche Frontend Deborah, das Deb-get auch ohne Terminal zugänglich macht [7]. Unseren Bug-Report arbeitete das Projektteam innerhalb von drei Tagen ab, sodass Anwender sich künftig nicht mehr um den Import der Schlüssel an die richtige Stelle kümmern müssen. Dafür Daumen hoch! (tle)