© Chitsanupong Chuenthananont, 123RF

Das Debian-Projekt existiert inzwischen sehr lange, viele Debianer halten ihre Distribution daher für alternativlos. Auf der Debconf 2017 warnte Entwickler Matthew Garrett allerdings, dass Debian auch in der Bedeutungslosigkeit verschwinden könne.

Die Debconf [1] ist ein Wanderzirkus. In diesem Jahr beherbergte ihn das kanadische Montréal, im vorigen fand sie in Südafrika statt, im nächsten Jahr wollen die Entwickler nach Taiwan reisen. Die Ortswechsel sollen möglichst allen weltweiten Entwicklern den Zugang zur Konferenz ermöglichen – natürlich dürfte auch die Reisefreudigkeit der Debianer eine Rolle spielen. Logiert wird meist an (halb-)öffentlichen Orten, auch um Kosten zu sparen, diesmal war es das Collège de Maisonneuve, das kanadische Schulabsolventen auf die Universität vorbereitet. Einigen Entwicklern finanziert das Projekt den Besuch, das Geld sammelt es von Sponsoren ein (Abbildung 1).

Abbildung 1: Unter anderem Google und Valve gehörten zu den Sponsoren der diesjährigen Debconf.

Totenglöckchen?

Ob die globale Community auch noch in 20 Jahren um die Welt reist, stellte Google-Entwickler Matthew Garrett in einem provokanten Vortrag, den er selbst als ketzerisch bezeichnete, in Frage [2]. Garrett ist im Debian-Projekt kein Unbekannter. 2005 ging er bei der Wahl zum Debian Project Leader als Dritter durchs Ziel, bekannt ist er aber vor allem für seine Arbeit im Security-Bereich, hier vor allem in Sachen sicheres Booten.

Er nahm die Community zunächst mit zurück ins Jahr 1997, als das Projekt den Debian Social Contract mit den Debian Free Software Guidelines (DFSG) verabschiedete. Das sei damals revolutionär gewesen und habe auch viele Firmen davon überzeugt, auf freie und quelloffene Software zu setzen. Heute verwenden alle wichtigen Unternehmen weltweit freie und quelloffene Software, mehr noch, sie bezahlen ihre Entwickler gar dafür, an freier Software zu arbeiten. Damals undenkbar, scheint es mitunter so, als habe man nun gewonnen.

Doch ist das wirklich so? Teils ja, teils nein. In den letzten 20 Jahren sei Debian zu einem Erfolgsmodell geworden, habe sich zugleich aber kaum weiterentwickelt, erklärte Garrett. Was dem Projekt vor allem fehle, sei ein Plan, was es als Nächstes tun will. Zwar gebe es eine Roadmap und allerhand Baustellen, doch fehle im Projekt schlicht eine darüber hinausgehende Zukunftsvision oder wenigstens die Diskussion darüber.

Vier-Punkte-Plan

Vier Dinge müsste das Projekt seiner Meinung nach vor allem angehen, um 2037, also in 20 Jahren, noch eine Rolle zu spielen (Abbildung 2). Freie Software müsse nicht nur frei sein, sondern für die User auch besser sein als proprietäre Software. Wenn Debian wachsen wolle, müsse es mehr Wert auf die Qualität der Software legen. Für Entwickler mache es Debian zu schwer, die eigene Software an die Linux-Nutzer zu bringen. Debians Software sei zum Teil veraltet und enthalte bekannte Bugs, zudem würde Debian aufgrund des aktuellen Entwicklungsmodells eine Vielzahl von Softwarepaketen links liegen lassen (müssen).

Abbildung 2: In seiner Rede nahm Entwickler Matthew Garrett die Debian-Community ins Gebet.

Auch das leidige Thema der Einkünfte schnitt er an. Da es unwahrscheinlich sei, dass sich in den nächsten 20 Jahren die sozialen Systeme grundlegend ändern, müssten auch Entwickler wohl oder übel Geld verdienen. Auch das müsse Debian berücksichtigen, um nachhaltig zu funktionieren. Nicht zuletzt brauche das Projekt mehr Klarheit im Umgang mit Patenten, Trademarks und Lizenzen.

Träge Entwicklung

Garretts Kritik ist zum Teil nicht von der Hand zu weisen: Debian Stable gilt vielen Usern als veraltet. Mit Secure Boot kommt die Distribution zum Beispiel noch immer nicht zurecht, obwohl die Technologie dazu bereits länger existiert. Der grafische Installer ist erst seit Debian 9 der Standard. Für einige externe Projekte, darunter etwa das Nextcloud-Projekt, fehlen Pakete, weil sich Debian schlicht zu langsam bewegt und die im Projekt verwendeten Pakete dann schnell veralten.

Auch Altlasten schleppt die Distribution noch mit sich herum. Als zum Beispiel die Reproduzierbarkeit von Paketen in einem Vortrag zur Sprache kam, erwähnte der Entwickler beiläufig, dass Debian zum Bau neuer Pakete teils noch auf Binaries von 2011 setze.

Prinzip Hoffnung

Das Thema Reproduzierbarkeit [3] gehörte aber zugleich zu jenen, die auf der Veranstaltung zeigten, dass einige im Projekt durchaus neue Ideen verfolgen, wenn auch, so scheint es, nicht sonderlich systematisch.

So versucht der britische Collabora-Mitarbeiter Simon McVittie, der unter anderem für Valve an deren Spieleplattform Steam arbeitet, Flatpak [4] in Debian zu etablieren. Das vor ein paar Jahren von Lennart Poettering vorgeschlagene und als Part von Freedesktop.org entwickelte Paketformat mit Sandboxing-Fähigkeit erlaubt es, über Runtimes neuere Bibliotheken auch auf älteren Systemen auszuliefern. Damit ließen sich auf Debian auch neuere Apps installieren.

Es gibt dabei allerdings einen Haken: Flatpak konzentriert sich ausschließlich auf Desktop-Apps. Serversysteme wie Nextcloud, Desktops wie Gnome oder Dienste wie Udev oder Init seien deshalb keine geeigneten Flatpak-Kandidaten. Die Runtimes brauchen zudem mehr Festplattenplatz, erklärte McVittie in seinem Vortrag. Dieser lasse sich allerdings mit Hilfe von Hardlinks reduzieren, wenn etwa zwei Apps identische Bibliotheken benötigen.

Ein weiteres Problem sei der Umgang mit unprivilegierten User Namespaces. Die müsste ein User auf Debian explizit erlauben, um Flatpak zu nutzen. Um das Problem zu umgehen, greift das Projekt nun zu Bubblewrap, einer Art »inux-user-chroot«. McVittie war auf der Debconf nicht der einzige, der sich mit Flatpak beschäftigte: Vor ihm stellte Cosimo Cecchi Endless OS, das hauseigene Debian-Betriebssystem, vor, das neben Flatpak auch auf OS-Tree [5] setzt.

Ein dritter Weg?

Als Austragungsort spiegelt das gegensätzliche Montréal (amerikanische Kultur trifft französische Lebensart) das Debian-Projekt perfekt wider. Während Admins und altgediente Debianer gerade die Stabilität und traditionelle Technologie ihrer Distribution schätzen und hochhalten (etwa in der Systemd-Debatte), kritisieren andere Nutzer, aber auch Entwickler, die langen Entwicklungszyklen und die Schwierigkeiten, neue Software in die Distribution zu integrieren.

Ob Debian nun also einen dritten Weg findet, auf dem es seine Stabilität wahren und Sicherheit verbessern kann, ohne den Anschluss an neue Entwicklungen im Softwarebereich zu verlieren, muss sich in den nächsten Jahren zeigen. Matthew Garrett äußerte jedenfalls die Hoffnung, auch 2037 wieder auf einer Debconf zu sprechen.