Cap. 5. Probleme în buster de care ar trebui să știți

Folosirea opțiunii de montare hidepid pentru /proc cauzează probleme cu versiunea curentă de systemd și este considerată o configurație nesuportată de către dezvoltatorii systemd. Utilizatorii care au modificat /etc/fstab pentru a activa această opțiune sunt sfătuiți să o dezactiveze înainte de actualizare, pentru a permite funcționarea sesiunilor login în buster. (O posibilă cale de a o re-activa este indicată în pagina de wiki Hardening.)

Opțiunile implicite ale lui ypbind s-au schimbat. În cazul în care ați modificat acest fișier valoarea implicită veche nu va fi actualizată și trebuie să vă asigurați că opțiunea YPBINDARGS= din /etc/default/nis nu include -no-dbus. Cu opțiunea -no-dbus prezentă ypbind nu va porni și este posibil să nu vă puteți autentifica. Pentru mai multe informații vedeți raportul de problemă #906436.

The default behavior of rpcbind has changed to no longer answer remote calls from NIS clients. On NIS servers you will need to add the (Debian-specific) -r flag to the command line options of rpcbind, otherwise users will not be able to log into your NIS client machines. For more info see bug #935492.

Semantica opțiunilor PubkeyAcceptedKeyTypes și HostbasedAcceptedKeyTypes pentru sshd s-a schimbat. Acestea specifică acum algoritmii de semnături acceptați pentru mecanismele lor de autentificare respective, pe când înainte specificau tipurile de chei acceptate. Această distincție contează când sunt folosiți algoritmii de semnături RSA/SHA2 rsa-sha2-256, rsa-sha2-512 și echivalentele lor pe bază de certificate. Configurațiile care specifică aceste opțiuni dar omit aceste nume de algoritmi pot cauza eșecuri neașteptate la autentificare.

Nu este necesară nicio măsură pentru configurațiile care acceptă valorile implicite pentru aceste opțiuni.

Deoarece systemd necesită entropie în timpul inițializării sistemului, iar nucleul tratează asemenea solicitări ca „blocante” atunci când entropia disponibilă este scăzută, sistemul poate să rămână „agățat” pentru minute sau chiar ore, până când subsistemul pentru date aleatorii este inițializat suficient (random: crng init done). Pentru sisteme amd64 care suportă instrucțiunea RDRAND această problemă este evitată de nucleul Debian prin folosirea implicită a acestei instrucțiuni (CONFIG_RANDOM_TRUST_CPU).

Sisteme non-amd64 și anumite tipuri de mașini virtuale trebuie să furnizeze o sursă diferită de entropie pentru a continua inițializarea rapidă. Pentru Programul de instalare a fost ales haveged și ar putea fi o opțiune valabilă dacă pe sistem nu este disponibilă entropie hardware. Pentru mașini virtuale se poate transmite entropie din gazdă către mașinile virtuale prin intermediul virtio_rng.

Dacă citiți această secțiune după actualizarea unui sistem la buster de la distanță atunci trimiteți ping-uri către sistem prin rețea deoarece acestea adaugă entropie la rezerva de date aleatorii și sistemul va fi din nou accesibil prin ssh.

Consultați wiki-ul și rezumatul lui DLange pentru opțiuni.

Dacă sistemul a fost actualizat de la versiunea precedentă și încă utilizează nume de interfață de rețea pe stil vechi, care au fost declarate învechite în stretch (cum ar fi eth0 sau wlan0), țineți cont că mecanismul de definire a numelor în /etc/udev/rules.d/70-persistent-net.rules nu mai este suportat oficial de udev în buster. Pentru a evita pericolul de a pierde conexiunea la rețea după actualizarea la buster, se recomandă să migrați în avans la noua schemă de denumire (în general denumiri de genul enp0s1 sau wlp2s5, care conțin numerele de magistrală PCI și slot). Aveți grijă să actualizați numele de interfețe specificate în configurații pentru firewall, ifupdown, și altele.

The alternative is to switch to a supported mechanism for enforcing the old naming scheme, such as a systemd .link file (see systemd.link(5)). The net.ifnames=0 kernel commandline option might also work for systems with only one network interface (of a given type).

Pentru a afla numele de tip nou care vor fi folosite mai întâi aflați numele actuale ale interfețelor relevante.

$ echo /sys/class/net/[ew]*
    

Pentru fiecare dintre acestea verificați dacă sunt utilizate în fișiere de configurare și ce denumire ar fi alocată de udev:

$ sudo rgrep -w eth0 /etc
$ udevadm test-builtin net_id /sys/class/net/eth0 2>/dev/null
    

This should give enough information to devise a migration plan. (If the udevadm output includes an „onboard” or „slot” name, that takes priority; MAC-based names are normally treated as a fallback, but may be needed for USB network hardware.)

După ce ați efectuat tranziția dezactivați 70-persistent-net.rules prin redenumire sau dezactivarea liniilor individuale. În mașini virtuale va fi necesar să îndepărtați fișierele /etc/systemd/network/99-default.link și (dacă folosiți dispozitive de rețea virtio) /etc/systemd/network/50-virtio-kernel-names.link. După aceea refaceți initrd-ul:

$ sudo update-initramfs -u
    

și reporniți. Sistemul ar trebui să aibă acum nume de interfețe de rețea pe stil nou. Ajustați fișierele de configurare rămase și testați sistemul.

See the wiki, upstream documentation, and the udev README.Debian for further information.

Sistemele care folosesc „channel bonding” (n. trad. combinarea canalelor) și/sau interfețe „dummy”, de exemplu pentru a configura o mașină ca router, pot întâmpina probleme actualizând la buster. Versiuni noi de systemd instalează un fișier /lib/modprobe.d/systemd.conf (pentru a simplifica configurarea prin intermediul systemd-networkd) care conține liniile

 options bonding max_bonds=0
 options dummy numdummies=0
    

Administratorii care depind de valori diferite vor trebui să le configureze astfel încât să aibă prioritate. Un fișier în /etc/modprobe.d trece peste un fișier cu același nume în /lib/modprobe.d, dar numele sunt procesate în ordine alfabetică. În consecință /lib/modprobe.d/systemd.conf urmează și trece peste /etc/modprobe.d/dummy.conf (de exemplu). Un fișier cu configurație locală va trebui să aibă un nume în ordine alfabetică după „systemd.conf”, cum ar fi „/etc/modprobe.d/zz-local.conf”.

Conform cu diverse recomandări de securitate versiunea minimă implicită de TLS a fost schimbată de la TLSv1 la TLSv1.2.

Totodată și nivelul de securitate implicit pentru conexiuni TLS a fost crescut de la nivelul 1 la nivelul 2. Astfel se trece de la nivelul de securitate cu 80 de biți la nivelul de securitate cu 112 biți și va necesita chei RSA și DHE cu 2048 biți sau mai mari, chei ECC cu 224 biți sau mai mari, precum și SHA-2.

Configurația generală a sistemului poate fi modificată în /etc/ssl/openssl.cnf. Aplicațiile are putea să aibă un mecanism specific pentru a modifica valorile implicite.

Fișierul /etc/ssl/openssl.cnf conține o linie MinProtocol și CipherString. CipherString poate configura și nivelul de securitate. Informații despre nivelele de securitate pot fi găsite în pagina de manual SSL_CTX_set_security_level(3ssl). Lista cu valori valide pentru protocolul minim poate fi găsită în SSL_CONF_cmd(3ssl). Alte informații se găsesc în ciphers(1ssl) și config(5ssl).

Revenirea la valorile precedente se poate face configurând următoarele valori în /etc/ssl/openssl.cnf:

        MinProtocol = None
        CipherString = DEFAULT
      

Se recomandă să luați legătura cu partea de la distanță dacă valorile implicite cauzează probleme.

GNOME în buster a schimbat serverul implicit de afișare de la Xorg la Wayland (vedeți Secțiune 2.2.11, „GNOME folosește implicit Wayland”). Anumite aplicații, inclusiv popularul manager de pachete synaptic, metoda implicită de introducere pentru chineza simplificată fcitx, precum și majoritatea aplicaților de înregistrare a ecranului nu au fost actualizate pentru a funcționa cu Wayland. Pentru a folosi aceste pachete este necesar să porniți o sesiune GNOME pe Xorg.

Mai jos urmează o listă de pachete învechite cunoscute și notabile (consultați Secțiune 4.8, „Pachete învechite” pentru descriere).

Lista pachetelor învechite include:

Odată cu următoarea lansare de Debian 11 (cu nume de cod bullseye) anumite funcții vor fi declarate învechite (n. trad. „deprecated”). Pentru a preveni probleme la actualizarea la Debian 11 utilizatorii ar trebui să migreze la soluții alternative.

Următoarele funcții sunt afectate:

Când apt full-upgrade s-a încheiat partea „formală” a actualizării este completă. Pentru actualizarea la buster nu sunt necesare operațiuni speciale înainte de repornire.

	Notă
	Această secțiune nu se aplică dacă ați decis să păstrați sysvinit-core.

După trecerea la systemd ca și sistem init implicit în Jessie și mai multă rafinare în Stretch diferite pachete legate de SysV nu mai sunt necesare și pot fi eliminate în siguranță cu

apt purge initscripts sysv-rc insserv startpar

Debian 10 include mai multe motoare de navigatoare, care sunt afectate de un flux constant de vulnerabilități de securitate. Rata mare de vulnerabilități și lipsa parțială a suportului din partea dezvoltatorilor în forma unor versiuni cu suport pe durată lungă face ca suportarea acestor navigatoare și motoare de randare cu remedieri de securitate adaptate la versiunea mai veche să fie foarte dificilă. Mai mult, datorită interdependențelor de biblioteci actualizarea la o versiune mai nouă este extrem de dificilă. În aceste condiții, navigatoarele construite pe baza motoarelor webkit și khtml sunt incluse în buster, dar nu au suport de securitate. Aceste navigatoare nu ar trebui folosite cu situri web care nu sunt de încredere. Pachetul sursă webkit2gtk are suport de securitate.

Pentru navigare generală recomandăm Firefox sau Chromium. Acestea vor fi ținute la zi prin recompilarea versiunilor ESR (n. trad. „Extended Support Release”, adică versiunea cu suport extins) pentru distribuția stabilă. Aceiași strategie va fi aplicată și pentru Thunderbird.

În acest moment infrastructura Debian nu are posibilitatea de a recompila pe scară largă pachete care leagă static (n. trad. „statically link”) părți ale altor pachete. În practică acest lucru nu a fost o problemă până la buster. Odată cu creștera ecosistemului Go acest lucru înseamnă că pachetele bazate pe Go nu vor avea parte de suportul obișnuit de securitate până când infrastructura nu va fi îmbunătățită pentru a putea fi gestionate mai ușor.

În cazul în care ar fi necesare actualizări acestea vor putea veni doar prin versiuni intermediare, care ajung mai rar.

Începând cu glibc 2.26, este necesar un kernel Linux 3.2. Pentru a evita defectarea completă a sistemului scriptul preinst pentru libc6 execută o verificare. Dacă această verificare eșuează instalarea pachetului va fi oprită, ceea ce va lăsa actualizarea neterminată. Dacă sistemul rulează un kernel mai vechi de 3.2 va trebui să-l actualizați înainte de a porni actualizarea distribuției.

su a schimbat semantica în buster și nu mai păstrează variabilele de mediu ale utilizatorului DISPLAY și XAUTHORITY. Dacă este necesar să rulați aplicații grafice cu su, va trebui să le configurați explicit pentru a permite accesul la afișaj. Vedeți raportul #905409 pentru o discuție detaliată.

Când actualizați de la stretch la buster, datele de localizare din glibc vor fi actualizate. Acest lucru schimbă modul în care PostgreSQL sortează informația în indecșii pentru text. Pentru a evita coruperea indecșii trebuie REINDEXați imediat după actualizarea pachetelor locales sau locales-all, înainte de a pune baza de date înapoi în producție.

Comandă sugerată:

sudo -u postgres reindexdb --all

Alternativ puteți actualiza baza de date la PostgreSQL 11 folosind pg_upgradecluster. (În mod implicit aceasta folosește pg_dump care reconstruiește toți indecșii. Utilizarea -m upgrade sau pg_upgrade nu este sigură deoarece păstrează ordonarea greșită a indexului.)

Consultați Wikiul PostgreSQL pentru mai multe informații.

În stretch pachetul mutt are aplicate petice de la https://neomutt.org. Începând cu buster pachetul care conține /usr/bin/mutt va fi bazat doar pe sursele originale de la http://www.mutt.org. Pachetul separat neomutt este disponibil pentru a oferi /usr/bin/neomutt.

Din acest motiv anumite funcții furnizate de mutt nu mai sunt disponibile. Dacă acest lucru vă strică configurația puteți instala neomutt în schimb.

Fără un dispozitiv de indicare nu există o cale directă pentru a modifica setări în aplicația GNOME Settings din gnome-control-center. Pentru a ocoli problema puteți naviga din bara laterală la conținutul principal apăsând de două ori săgeată dreapta. Pentru a ajunge din nou în bara laterală puteți porni o căutare cu Ctrl+F, scrieți ceva, după care apăsați Esc pentru a anula căutarea. Acum puteți folosi săgeată sus și săgeată jos pentru a naviga în bara laterală. Rezultatele căutării nu se pot selecta cu tastatura.

Users of the initial buster release images should not change the LUKS password of encrypted disks with the GNOME graphical interface for disk management. The gnome-disk-utility package in buster had a very nasty bug (#928893) when used to change the LUKS password: it deleted the old password but failed to correctly set the new one, making all data on the disk inaccessible. This has been fixed in the first point release.

Utilizatorii care folosesc evolution ca și client de email și se conectează la un server Exchange, Office365 sau Outlook folosind modulul evolution-ews ar trebui să nu actualizeze la buster înainte de a salva toate datele și de a găsi o soluție alternativă. evolution-ews a fost scos din distribuție din cauza unei probleme (#926712) iar mesajele email, calendarele, listele de contact și sarcinile vor fi șterse și nu vor mai fi accesibile din Evolution.

The evolution-ews package has been reintroduced via buster-backports. Users upgrading from stretch to buster can enable buster-backports after the upgrade and then they will be able to reinstall evolution-ews.

Dacă instalați Debian de pe medii live cu programul de instalare Calamares Secțiune 2.2.13, „Noutăți de la echipa Debian Live” alegând funcția de criptare a discului, cheia de criptare va fi păstrată în initramfs, care este accesibil fără restricții. Acest lucru permite utilizatorilor cu acces la sistemul de fișiere local să citească cheia privată și să obțină acces la sistemul de fișiere în viitor.

Pentru a preveni acest lucru adăugați UMASK=0077 în /etc/initramfs-tools/conf.d/initramfs-permissions și executați comanda update-initramfs -u. Astfel initramfs-ul va fi recreat cu permisiuni mai restrictive.

O corecție pentru programul de instalare este planificată (vedeți raportul de problemă #931373) și va fi încărcată în arhiva debian-security. Între timp utilizatorii care folosesc criptarea completă a discului ar trebui să aplice soluția de mai sus.

When using s3ql with Amazon S3 buckets, the configuration needs updating for a change in the URL. The new format is:

s3://<region>/<bucket>/<prefix>

The shipped configurations for /var/log/btmp and /var/log/wtmp have been split from the main configuration file (/etc/logrotate.conf) into separate standalone files (/etc/logrotate.d/btmp and /etc/logrotate.d/wtmp).

If you have modified /etc/logrotate.conf in this regard, make sure to re-adjust the two new files to your needs and drop any references to (b|w)tmp from the main file, since duplicate definitions can cause errors.