Open Source im professionellen Einsatz

Debconf 17: Quo vadis, Debian?

12.08.2017

Auf der Debconf 17 diskutierten die Debianer die nächsten Schritte für Reproducible Builds, lauschten Vorschlägen für mehr Sicherheit für Updates und installierte Programme. Zwei Vorträge widmeten sich aber auch der Vergangenheit und Zukunft von Debian.

842

Die Debconf 17 geht in den Endspurt, doch neben Diskussionen über die generelle Zukunft von Debian wurden auch weitere Neuerungen präsentiert. So stellten gleich eine ganze Reihe von Debianern die Entwicklungen im Reproducible-Builds-Projekt vor. Dem schlagen bislang offenbar keine größeren Widerstände entgegen. Im Gegenteil: Andere Projekte scheinen Interesse zu zeigen, daran mitzuarbeiten, unter anderem Open Suse. Wohl auch deshalb liegt dem Debian-Projekt daran, das Projekt möglichst plattformneutral zu präsentieren.

Wie reproduzierbare Pakete in Zukunft aussehen, ist allerdings noch unklar. Es gibt Ideen aber keine konkreten Implementierungen. So könnte es sein, dass der User die Prüfung auf Reproduzierbarkeit künftig über einen Schalter aktiviert. Der Paketmanager würde den Admin dann informieren, falls dieser versucht, ein nicht reproduzierbares Paket zu installieren.

Debian Buster wird voraussichtlich noch nicht reproduzierbar sein, doch wenn alles klappt, steht zumindest eine Toolchain bereit, um Pakete reproduzierbar in die Debian-Architektur zu integrieren. Theoretisch ließen sich auch Sicherheitsupdates für Stretch bereits reproduzierbar bauen, ob das Realität wird, ist allerdings offen. Eher langfristig gibt es auch die Überlegung, die mittlerweile standardisierten ".buildinfo"-Dateien mit Hilfe einer Blockchain zu verwalten, um Manipulationen daran auszuschließen.

Updates und Installationen absichern

Updates sind ein potenzielles Einfallstor für Angriffe. Das federführend von Justin Cappos, einem Associate Professor an der New York University, entwickelte The Update Framework (kurz Tuf), soll Updates vor zahllosen Angriffen schützen. Zu ist es zum Beispiel möglich, dem Nutzer falsche Pakete unterzujubeln, Update-Meldungen zu unterdrücken und zahlreiche weitere Angriffe zu fahren (Endless Data, Fast Forward, Freeze und mehr).

Apt verhindert solche Angriffe inzwischen auch weitgehend, Tuf hätte wohl den Vorteil, Schlüssel bequemer verwalten zu können. Die Debianer monierten jedoch, dass das Projekt noch keinen direkten Kontakt mit den relevanten Debian-Entwicklern habe und der Code nicht in den von Debian integriert sei. Auf der andere Seite wäre dafür vermutlich eine recht umfangreiche Vorleistung nötig, während die Tuf-Entwickler den Eindruck vermittelten, erstmal das generelle Interesse im Projekt eruieren zu wollen.

Ein anderes Projekt will die internen Linux-Desktops von Google besser absichern. Die laufen laut Google-Mitarbeiterin Margarita Manterola seit kurzem auf Debian und nicht mehr auf Ubuntu. Goobuntu heißt daher neuerdings G-Linux. Laut Manterola holt Google für sein internes Linux Pakete aus Testing und integriert sie dann in G-Linux. Zurzeit befindet sich das Linux noch im Alpha-Stadium mit einigen hundert Testusern. Ab Mitte August ist dann ein Wechsel in die Betaphase geplant.

Entwickler Matthew Garrett soll die Linux-Desktops bei Google hingegen absichern. Sein Rezept stellte er auf der Debconf vor. Er plant an einer Integrity Measurement Architecture (IMA). Die soll Dateien, die aus einem installierten Paket stammen, signieren und verifizieren. Das verhindert, dass Dritte etwa Binärdateien gegen Malware austauschen. Lässt sich eine Datei nicht verifizieren, gibt es eine Fehlermeldung oder einen Logeintrag. Beim Signieren helfen soll dabei ein Trusted Key, den der Linux-Kernel im Kernel Keyring verwaltet.

(K)eine Zukunft für Debian

Ein anderer, provokativerer Vortrag von Garrett wirbelte allerdings mehr Staub auf. Den bezeichnete der Entwickler selbst als ketzerisch. Seine These: in den letzten 20 Jahren habe sich Debian kaum weiterentwickelt und wichtige Umbrüche verpasst. Was dem Projekt vor allem fehle, sei ein Plan, was es als nächstes tun wolle, eine Art Zukunftsplanung.

Um auch in 20 Jahren, noch eine Rolle zu spielen, müsste Debian für die User besser funktionieren als proprietäre Software. Von den Usern zu verlangen, für die Freiheit der Software Kompromisse in der Qualität und Auswahl einzugehen, sei eher kontraproduktiv für eine weite Verbreitung. Für Entwickler mache es Debian unnötig schwer, die eigene Software an die Linux-Nutzer zu bringen. Debians Software sei zum Teil veraltet und enthalte bekannte Bugs, zudem könne das Projekt aufgrund seines Entwicklungsmodells eine Vielzahl von Softwarepaketen nicht paketieren.

Einen eher historischen Blick zurück auf die Anfänge von Debian warf hingegen Bdale Garbee, ein Urgestein im Projekt. Auch er konzentrierte sich interessanterweise auf die ersten Jahre bis etwa 1998, in denen auch Garrett die größten Veränderungen verortet hatte. Garbee machte allerdings nicht den Eindruck, dass er an ein Ableben von Debian glaubt, sondern hob vor allem den großen Einfluss auf zahlreiche Downstream-Projekte hervor, die auf Debian aufsetzen.

Bdale Garbee warf einen Blick zurück auf die Anfangsjahre von Debian.

Dennoch sieht auch der Veteran das Projekt nicht völlig unkritisch. So wurde am Ende die Frage diskutiert, ob die Release-Zyklen nicht zu langsam seien und die Freeze-Zeiten nicht zu lange dauern würden. Garbee gab zudem zu bedenken, dass Debian stark auf klassische, C-artige Software ausgelegt sei, die einen Quellcode mitbringt, den es zu übersetzen gilt. Neue Programmiersprachen würden diesem traditionellen Muster allerdings nicht unbedingt folgen. Unterhaltsam war zudem seine erstaunte Reaktion, als sich auf die Frage, wer denn Debian Stable auf dem Laptop laufen habe, eine ganze Reihe von Zuhörern meldeten. Er habe Debian immer für ein klassisches Serversystem gehalten und wisse gar nicht so recht, was man mit einem Desktop anfangen solle.

Ähnliche Artikel

comments powered by Disqus

Ausgabe 09/2017

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.