Capítulo 2. Quais as novidades no Debian 10

Secure Boot é uma funcionalidade habilitada na maioria dos PCs que impede o carregamento de código não assinado, protegendo contra alguns tipos de bootkit e rootkit.

Agora, o Debian pode ser instalado e executar na maioria dos PCs com Secure Boot habilitado.

É possível habilitar o Secure Boot em um sistema que já tenha uma instalação existente do Debian, caso ele já inicialize usando UEFI. Antes de fazer isso, é necessário instalar shim-signed, grub-efi-amd64-signed ou grub-efi-ia32-signed, e um pacote de kernel Linux da buster.

Algumas funcionalidades do GRUB e do Linux são restringidas no modo Secure Boot, para impedir modificações nos seus códigos.

Mais informações podem ser encontradas no wiki do Debian em SecureBoot.

O Debian buster tem o AppArmor habilitado por padrão. O AppArmor é uma infraestrutura de controle de acesso obrigatório para restringir as capacidades dos programas (tais como permissões de montagem, "ptrace" e de sinal, ou acesso de leitura, escrita e execução em arquivos) através da definição de perfis por programa.

The apparmor package ships with AppArmor profiles for several programs. Some other packages, such as evince, include profiles for the programs they ship. More profiles can be found in the apparmor-profiles-extra package.

AppArmor is pulled in due to a Recommends by the buster Linux kernel package. On systems that are configured to not install recommended packages by default, the apparmor package can be installed manually in order to enable AppArmor.

Todos os métodos fornecidos pelo APT (por exemplo: http e https), exceto cdrom, gpgv e rsh, podem fazer uso do sandboxing seccomp-BPF fornecido pelo kernel Linux para restringir a lista de chamadas de sistema permitidas, e capturar todas as outras com um sinal SIGSYS. Esse sandboxing é opcional atualmente e precisa ser habilitado com:

      APT::Sandbox::Seccomp é um booleano para ligar/desligar
    

Duas opções podem ser usadas para configurar mais detalhadamente:

      APT::Sandbox::Seccomp::Trap é uma lista de nomes de mais chamadas de sistema para capturar
      APT::Sandbox::Seccomp::Allow é uma lista de nomes de mais chamadas de sistema para permitir
    

Versões anteriores do pacote unattended-upgrades instalavam somente atualizações oriundas da suíte de segurança por padrão. Na buster, ele também automatiza a atualização para o lançamento pontual mais recente da versão estável. Para detalhes, veja o arquivo NEWS.Debian do pacote.

A documentação (páginas man) para vários projetos, tais como systemd, util-linux e mutt foi substancialmente estendida. Por favor, instale manpages-de para se beneficiar das melhorias. Durante o tempo de vida da buster, traduções novas/melhoradas serão fornecidas através do repositório backports.

Starting with iptables v1.8.2 the binary package includes iptables-nft and iptables-legacy, two variants of the iptables command line interface. The nftables-based variant, using the nf_tables Linux kernel subsystem, is the default in buster. The legacy variant uses the x_tables Linux kernel subsystem. The update-alternatives system can be used to select one variant or the other.

Isso se aplica a todas as ferramentas e utilitários relacionados:

All these have also gained -nft and -legacy variants. The -nft option is for users who can't or don't want to migrate to the native nftables command line interface. However, users are strongly enouraged to switch to the nftables interface rather than using iptables.

O nftables fornece um substituto completo para o iptables, com desempenho muito melhor, uma sintaxe atualizada, melhor suporte para firewalls de duas pilhas IPv4/IPv6, operações totalmente atômicas para atualizações de conjuntos de regras dinâmicas, uma API Netlink para aplicativos de terceiros, classificação mais rápida através de infraestruturas de conjunto genérico e mapeamento melhoradas, e muitas outras melhorias.

Essa mudança está alinhada com o que outras grandes distribuições Linux estão fazendo, tais como a RedHat, que agora usa nftables como sua ferramenta padrão de firewall.

Por favor, note também que todos os binários do iptables agora são instalados em /usr/sbin em vez de /sbin. Uma ligação simbólica é fornecida, mas será removida após o ciclo de lançamento da buster. Caminhos binários fixos em scripts precisarão ser corrigidos e é melhor evitá-los.

Uma extensa documentação está disponível nos arquivos README e NEWS do pacote e no Wiki do Debian.

A versão do cryptsetup que vem no Debian buster usa o novo formato LUKS2 em disco. Novos volumes LUKS usarão esse formato por padrão.

Diferentemente do formato anterior LUKS1, o LUKS2 fornece redundância de metadados, detecção de corrompimento de metadados e algoritmos PBKDF configuráveis. Também há suporte para criptografia autenticada, mas ainda é experimental.

Existing LUKS1 volumes will not be updated automatically. They can be converted, but not all LUKS2 features will be available due to header size incompatibilities. See the cryptsetup manpage for more information.

Por favor, note que o carregador de inicialização GNU GRUB ainda não tem suporte ao formato LUKS2. Veja a documentação correspondente para mais informações sobre como instalar o Debian 10 com boot criptografado.

O Debian 10 fornece o CUPS 2.2.10 e o cups-filters 1.21.6. Juntos, eles dão ao usuário tudo o que é necessário para aproveitar a impressão sem drivers. O principal requisito é que uma fila de impressão em rede ou impressora ofereça um serviço AirPrint. Uma impressora IPP moderna provavelmente terá suporte a AirPrint. Uma fila de impressão CUPS no Debian sempre terá AirPrint habilitado.

Em essência, os broadcasts DNS-SD (Bonjour) de um servidor CUPS anunciando uma fila, ou aqueles de impressoras IPP, são capazes de serem exibidos nos diálogos de impressão de aplicativos sem exigir qualquer ação por parte do usuário. Um benefício adicional é que pode ser dispensado o uso de plugins e drivers de impressão não livres distribuídos pelo fornecedor.

Uma instalação padrão do pacote cups também instala o pacote cups-browsed; filas de impressão e impressoras IPP agora serão configuradas e gerenciadas automaticamente por esse utilitário. Esse é o método recomendado para o usuário vivenciar uma impressão sem drivers fácil e livre de problemas.

Thanks to the efforts of the linux-sunxi community Debian buster will have basic suport for many devices based on the Allwinner A64 SoC. This includes FriendlyARM NanoPi A64; Olimex A64-OLinuXino and TERES-A64; PINE64 PINE A64/A64+/A64-LTS, SOPINE, and Pinebook; SINOVOIP Banana Pi BPI-M64; and Xunlong Orange Pi Win(Plus).

The essential features of these devices (e.g. serial console, ethernet, USB ports and basic video output) should work with the kernel from buster. More advanced features (e.g. audio or accelerated video) are included or scheduled to be included in later kernels, which will be made available as usual through the backports archive. See also the status page for the Linux mainlining effort.

The Debian Med team has added several new packages and updates for software targeting life sciences and medicine. The effort to add Continuous Integration support for the packages in this field was (and will be) continued.

To install packages maintained by the Debian Med team, install the metapackages named med-*, which are at version 3.3 for Debian buster. Feel free to visit the Debian Med tasks pages to see the full range of biological and medical software available in Debian.

Following upstream, GNOME in buster defaults to using the Wayland display server instead of Xorg. Wayland has a simpler and more modern design, which has advantages for security.

The Xorg display server is still installed by default and the default display manager still allows you to choose it as the display server for the next session, which may be needed if you want to use some applications (see Seção 5.1.9, “Alguns aplicativos não funcionam no GNOME sobre Wayland”).

People requiring accessibility features of the display server, e.g. global keyboard shortcuts, are recommended to use Xorg instead of Wayland.

On fresh installs, the content of /bin, /sbin and /lib will be installed into their /usr counterpart by default. /bin, /sbin and /lib will be soft-links pointing at their directory counterpart under /usr/. In graphical form:

/bin → /usr/bin
/sbin → /usr/sbin
/lib → /usr/lib
    

When upgrading to buster, systems are left as they are, although the usrmerge package exists to do the conversion if desired. The freedesktop.org project hosts a Wiki with most of the rationale.

This change shouldn't impact normal users that only run packages provided by Debian, but it may be something that people that use or build third party software want to be aware of.

The Debian Live team is proud to introduce LXQt live ISOs as a new flavor. LXQt is a lightweight Qt desktop environment. It will not get in your way. It will not hang or slow down your system. It is focused on being a classic desktop with a modern look and feel.

The LXQt desktop environment offered in the Debian Live LXQt project is pure, unmodified, so you will get the standard desktop experience that the LXQt developers created for their popular operating system. Users are presented with the standard LXQt layout comprised of a single panel (taskbar) located on the bottom edge of the screen, which includes various useful applets, such as the Main Menu, task manager, app launcher, system tray area, and integrated calendar.

The buster live images come with something new that a bunch of other distributions have also adopted, which is the Calamares installer. Calamares is an independent installer project (they call it “The universal installer framework”) which offers a Qt based interface for installing a system. It doesn't replace debian-installer on the live images; rather, it serves a different audience.

Calamares is really easy to use, with friendly guided partitioning and really simple full-disk encryption setup. It doesn't cover all the advanced features of debian-installer (although it very recently got RAID support) and it doesn't have an unattended install mode either. However, for 95%+ of desktop and laptop users, Calamares is a much easier way to get a system installed, which makes it very appropriate for live systems. For anyone who needs anything more complicated, or who's doing a mass-install, debian-installer is still available in both text and GUI forms.

Debian Live Buster re-introduces the standard live image. This is a basic Debian image that contains a base Debian system without any graphical user interface. Because it installs from a squashfs image rather than installing the system files using dpkg, installation times are a lot faster than installing from a minimal Debian installation image.