Debian 11 Bullseye: nové hašování hesel a změny mezi utilitami

Debian po dvou letech

Jak je již řadu let dobrým zvykem, Debian vychází každé dva roky. Předchozí Debian 10 Buster vyšel v červenci 2019, čerstvá novinka Bullseye pak světlo světa spatřila 14. srpna, jak bylo avizováno už v červenci.

Tato verze bude plně podporována do roku 2024 a poté její život prodlouží o dva roky ještě projekt LTS. Současní uživatelé předchozí verze Buster mají plnohodnotnou podporu ještě další rok, takže není potřeba s aktualizací spěchat a naopak se doporučuje v klidu pár měsíců počkat, než se případně odstraní nějaké nedostatky.

Debian tradičně pojmenovává nová vydání podle postaviček z filmů Příběh hraček, v jedenáctku zdobí koník Bullseye. Už bylo zveřejněno, že za dva roky vyjde Debian 12 Bookworm a za další dva roky pak Debian 13 Trixie. Vývojáři ubezpečují, že jmen je stále dost, filmy a nové postavy přibývají rychleji, než je stíhá Debian spotřebovávat.

Konec platformy MIPS

Současné vydání Debianu je k dispozici oficiálně pro devět platforem, proti desítce vypadla platforma big-endian mode MIPS ( mips). Mezi vývojáři přestal být zájem o její údržbu a tak bylo před časem rozhodnuto o jejím ukončení.

• 32-bit PC ( i386) a 64-bit PC ( amd64)
• 64-bit ARM ( arm64)
• ARM EABI ( armel)
• ARMv7 (EABI hard-float ABI, armhf)
• little-endian MIPS ( mipsel)
• 64-bit little-endian MIPS ( mips64el)
• 64-bit little-endian PowerPC ( ppc64el)
• IBM System z ( s390x)

Existují i další porty, které jsou v různém stádiu ukončení života či jsou naopak rozpracované. Protože jsou v každém případě nekompletní, nejsou mezi oficiálně vydanými obrazy. Pokud vás zajímají, podívejte se na Debian Ports.

Bullseye v číslech

Nová verze Debianu jako obvykle znamená nové balíčky, tentokrát je jich 11 294 a celkem jich teď v repozitářích máte k dispozici 59 551. Valná většina (72 %) balíčků byla také aktualizována, takže je k dispozici celá řada nových verzí. Samozřejmě musely být i z různých důvodů některé balíčky odstraněny, bylo jich 9519, což je 16 % balíčků z Bustera.

Můžete si prohlédnout nejdůležitější balíčky v Debianu a to, jak se mezi vydáními změnily jejich verze:

Pokud chcete nasadit Debian na desktopu, máte k dispozici různá prostředí: GNOME 3.38, KDE Plasma 5.20, LXDE 11, LXQt 0.16, MATE 1.24 a Xfce 4.16. Kromě toho jsou samozřejmě mezi balíčky tradiční správci oken, nemusíte se spoléhat na připravená prostředí.

Linuxové jádro

Základem každé distribuce je samozřejmě linuxové jádro, Debian 11 přišel s verzí 5.10 LTS. Změn proti verzi 4.19 obsažené v Debianu 10 je spousta, my si řekneme jen o těch nejpodstatnějších.

Na serveru vás může zaskočit, že z jádra zmizela podpora pro scrollback buffer (rolovací zásobník) na VGA a framebufferu. Nebyla udržována a zmizela proto bez náhrady. Tohle není samozřejmě jen záležitost Debianu, ale pro uživatele to může být nepříjemné překvapení. Pokud tedy používáte skutečnou lokální textovou konzoli, musíte pro zpětné rolování používat multiplexery jako Tmux nebo Screen.

Debian začal ve výchozím stavu používat cgroups v2, podle vývojářů jde o vyzrálý subsystém a linuxový svět na něj vlastně už přešel. Samozřejmě máte možnost se pomocí parametrů jádra vrátit k původní hierarchii první verze.

Nové jádro také přichází s nativní podporou souborového systému exFAT. Uživatelé tak už nebudou muset používat implementaci v uživatelském prostoru, která využívala rozhraní FUSE. Ta se stále nachází v samostatném balíčku  exfat-fuse. Utility pro správu exFAT jsou v balíčku exfatprogs a jsou dílem stejných vývojářů, kteří napsali ovladač do jádra. Stále existuje také starší balíček  exfat-utils, který se ovšem s novou variantou vylučuje a vývojáři jej nedoporučují nadále používat.

Systemd

Do Bullseye se dostal systemd verze 247 (v Busteru byla verze 241) a zapíná ve výchozím stavu perzistentní ukládání žurnálu na disk. Ten se nachází v adresáři /var/log/journal/ a číst jej mohou členové skupin adm a systemd-journal. Další podrobnosti naleznete v manuálové stránce.

Démon systemd-timesyncd už není součástí hlavního balíku se systemd, ale je potřeba jej samostatně doinstalovat. Umožňuje to svobodně si vybrat implementaci protokolu NTP a bez dalších kolizí nainstalovat balíčky ntp, chrony, openntpd dle vlastních preferenci.

Ovládací utility journalctl a systemctl mají řadu nových parametrů a do Debianu přibyla také celá řádka nových manuálových stránek.

• systemd-bless-boot.8
• systemd-boot-check-no-failures.8
• systemd-boot-system-token.service.8
• systemd-journald-varlink@.socket.8
• systemd.net-naming-scheme.7
• systemd-network-generator.service.8
• systemd-pstore.service.8
• systemd-udev-settle.service.8
• systemd-user-runtime-dir.5
• systemd-xdg-autostart-generator.8

Hašovací algoritmus yescrypt

Bullseye používá ve výchozím stavu pro ukládání hašů hesel algoritmus yescrypt. Ten nahrazuje dříve používaný SHA-512 a je odolnější proti slovníkovým útokům. Samozřejmě to může způsobit nekompatibilitu se staršími verzemi hašů, rozhodně proto čtěte poznámky od vývojářů.

Obecně platí, že starší podobu hašů je možné používat nadále, ale jakmile si uživatel v Bullseye změní heslo, jeho haš už nebude možné používat třeba v Busteru, který si s yescrypt  nerozumí. Pokud chcete zůstat u staršího algoritmu, otevřete soubor /etc/pam.d/common-password a v následujícím řádku změňte yescrypt na  sha512.

password [success=1 default=ignore] pam_unix.so obscure yescrypt

Tisk a skenování bez ovladačů

Tiskárny a skenery jsou dlouhodobě největším problémem z hlediska ovladačů (často uzavřených) a kompatibility s různými systémy. Vývojáři při tomto vydání Debianu hodně zdůrazňují nové verze démonů CUPS a SANE, které umožňují skenování a tisk bez ovladačů pomocí standardizovaných rozhraní. Pokud máte hardware mladší pěti let, je vysoká pravděpodobnost, že to s ním bude fungovat.

Vše je zařízeno pomocí nového balíčku ipp-usb, který je doporučován balíkem cups-daemon a umožňuje používat protokol IPP-over-USB, který moderní tiskárny znají. USB tiskárna se díky němu může chovat jako síťové zařízení a tisknout pomocí IPP také přes USB.

Podobné je to se skenováním, kde je možné s démonem SANE využít backendy sane-escl a novější sane-airscan. Oba umí používat protokol eSCL, ale druhý jmenovaný rozumí také protokolu WSD. Doporučuje se mít nainstalované obě varianty. eSCL a WSD jsou síťové protokoly, ale umí také fungovat pomocí IPP-over-USB, takže vám budou fungovat i s USB skenerem.

Rozdělení balíčku util-linux

Velké změny se udály v balíčku util-linux, který obsahuje spoustu tradičních systémových utilit. Řada utilit byla vyjmuta do samostatných balíčků nebo byly vyměněny za jinou variantu. Z hlediska systémového správce je toto asi nejpodstatnější změna, která vás může zaskočit.

Nejviditelnější novinkou je ještě větší osamostatnění programu fdisk, který najdete v samostatném balíčku, stejně jako jeho kolegů sfdisk a cfdisk. Je to změna oznámená už před čtyřmi lety, která se částečně promítla už v Busteru. V něm byly utility už oddělené, ale stále byly ještě v systému díky závislosti z původního balíčku util-linux. Uživatelé si tedy obvykle žádné změny nevšimli.

V současném vydání už ale explicitní závislost na původním balíčku chybí, takže se utility při přechodu na novou verzi systému mohou odinstalovat, protože v dané instalaci není žádný balík, který by na nich výslovně závisel. Důvod této změny je prostý: utility pro dělení disku a přidružené knihovny nejsou potřeba všude (třeba v kontejnerech) a díky jejich nepovinnému stavu teď nemusejí být v systému přítomny a je možné je doinstalovat na požádání.

Z hlediska utilit existují i další změny, o kterých je dobré vědět. Příkaz eject se přesunul do samostatného balíku a celá řada utilit byla přemístěna z bsdmainutils  do bsdextrautils: col, colcrt, colrm, hd, hexdump, look, ul a write(.ul). Odstraněny byly utility rename.ul, volname a  dmcrypt-get-device.

Rychlý přehled dalších střípků

OpenSSH bylo aktualizováno na verzi 8.4p1, takže je možné s ním používat přihlašování pomocí hardwarových U2F tokenů.

MariaDB už se nespouští jako  /usr/sbin/mysqld, ale najdete ji v  /usr/sbin/mariadbd.

Python 2.7 je v distribuci stále přítomen, ale už nebude dostávat žádné bezpečnostní záplaty. Python 2 už nemá podporu ani od původních vývojářů a distribuce ukončují jeho životnost.

Před aktualizací si prostudujte poznámky k vydání a příručku pro povýšení systému na Debian 11 Bullseye.