Chapitre 2. Nouveautés de Debian 10

L'amorçage sécurisé avec UEFI est une fonctionnalité présente sur un grand nombre de PC récents. Il empêche le chargement de code non signé numériquement, et ainsi protège de certains types de virus bootkit et rootkit.

Debian peut maintenant être installée et fonctionner sur la plupart des PC avec la fonction « Secure Boot » activée.

Il est possible d'activer l'amorçage sécurisé sur une installation Debian existante, si celle-ci utilise déjà l'UEFI. Avant tout, il faut installer les paquets shim-signed, grub-efi-amd64-signed ou grub-efi-ia32-signed, ainsi qu'un noyau Linux depuis Buster.

Certaines fonctionnalités de GRUB et Linux sont restreintes dans le mode Secure Boot, pour empêcher la modification de leur code.

Plus d'information est disponible sur le wiki de Debian à la page SecureBoot.

AppArmor est activé par défaut dans Debian Buster. AppArmor est un cadre de contrôle d'accès pour limiter les possibilités des programmes (comme les permissions de mount, ptrace et signal, ainsi que les droits de lecture, écriture et exécution) en définissant des profils propres à chaque programme.

Le paquet apparmor est fourni avec des profils AppArmor pour différents programmes. D'autre paquets, comme evince, fournissent leur propre profil. De nombreux profils peuvent être trouvés dans le paquet apparmor-profiles-extra.

AppArmor est installé par la dépendance Recommends du noyau Linux de Buster. Sur les systèmes qui sont configurés pour ne pas installer les paquets recommandés, le paquet apparmor peut être installé manuellement pour activer ses fonctionnalités.

Toutes les méthodes de APT (par exemple http et https) sauf cdrom, gpgv et rsh utilisent le bac à sable seccomp-BPF fourni par le noyau Linux pour limiter la liste des appels système autorisés, et intercepter les autres grâce à un signal SIGSYS. Ce bac à sable est actuellement désactivé par défaut mais peut être activé avec :

      APT::Sandbox::Seccomp est un booléen pour activer ou désactiver
    

Deux options peuvent être utilisées pour affiner la configuration :

      APT::Sandbox::Seccomp::Trap est une liste de noms de syscalls à intercepter
      APT::Sandbox::Seccomp::Allow est une liste de noms de syscalls à autoriser
    

Dans la configuration par défaut des versions précédentes de unattended-upgrades, seules les mises à jour de sécurité étaient installées. Dans Buster, les mises à jour vers les publications intermédiaires (« point releases ») sont aussi effectuées. Pour plus de détails, consultez le fichier NEWS.Debian du paquet unattended-upgrades.

La documentation (man-pages) de plusieurs projets comme systemd, util-linux et mutt a été grandement améliorée. Pour en profiter, installez le paquet manpages-de. Durant le cycle de Buster, les améliorations seront rétroportées et fournies dans l'archive backports.

À partir de la version 1.8.2 de iptables, le paquet binaire contient iptables-nft et iptables-legacy, deux variantes de l'interface en ligne de commande iptables. La variante basée sur nftables est celle par défaut dans Buster et utilise le sous-système nf_tables du noyau Linux. L'ancienne version utilise le sous-système x_tables du noyau Linux. Le système update-alternatives peut être utilisé pour choisir une des deux variantes.

Cela s'applique aux outils et utilitaires suivants :

Tous ces utilitaires ont maintenant une variante -nft et une variante -legacy. La variante -nft est adaptée aux utilisateurs qui ne veulent ou ne peuvent migrer vers l'interface nftables. Cependant, les utilisateurs sont encouragés à basculer vers l'interface nftables plutôt que d'utiliser l'ancienne iptables.

nftables est un remplaçant complet pour iptables, avec de meilleures performances, une syntaxe réécrite, une meilleure prise en charge des pare-feux double couche IPv4/IPv6, des opérations atomiques, une classification plus rapide des paquets grâce à un set générique amélioré et des infrastructures de routage, et beaucoup d'autres améliorations.

Cette migration est en phase avec les autres distributions, comme Red Hat, qui utilisent maintenant nftables comme pare-feu par défaut.

Veuillez noter que tous les binaires iptables sont maintenant installés dans /usr/sbin à la place de /sbin. Un lien symbolique, pour la compatibilité, est en place, mais sera supprimé après le cycle de Buster. Ainsi, veillez à ne pas utiliser de chemins explicites dans les scripts, ou pensez à les mettre à jour manuellement.

Une documentation plus complète est disponible dans les fichiers README et NEWS du paquet, ainsi que sur le Wiki Debian.

La version de cryptsetup fournie dans Debian Buster utilise le nouveau format LUKS2. Les nouveaux volumes LUKS utiliseront désormais ce format par défaut.

Contrairement au format précédent LUKS1, LUKS2 permet la redondance des méta-données, la détection des corruptions de méta-données et des algorithmes PBKDF configurables. Le chiffrement authentifié est aussi pris en charge, mais encore marqué comme expérimental.

Les volumes LUKS1 ne seront pas mis à jour automatiquement. Ils peuvent être convertis, mais toutes les fonctionnalités de LUKS2 ne peuvent être disponibles en raison de l'incompatibilité des tailles des en-têtes? Consultez la page de manuel de cryptsetup pour plus d'information.

Veuillez noter que le chargeur d'amorçage GNU GRUB ne prend pas encore en charge le format LUKS2. Consultez la documentation en anglais pour plus d'informations sur la manière d'installer Debian 10 avec une partition /boot chiffrée.

Debian 10 fournit CUPS 2.2.10 et cups-filters 1.21.6. Cet ensemble permet de profiter pleinement de l'impression sans pilote. Le principal requis est une file d'attente d'impression réseau, ou une imprimante fournissant un service AirPrint. Les imprimantes IPP modernes ont souvent ces capacités, et une file d'attente d'impression avec CUPS de Debian est maintenant activée pour AirPrint.

Dans le principe, les transmissions DNS-SD (Bonjour) d'un serveur CUPS annonçant une file d'attente, ou celles des imprimantes IPP, peuvent être affichées dans les boîtes de dialogue des applications sans aucune action de l'utilisateur. Un des avantages est que l'utilisation des pilotes et greffons non libres n'est plus nécessaire.

Une installation par défaut du paquet cups installe aussi cups-browsed. Les files d'attente et les imprimantes IPP seront maintenant automatiquement installées et configurées par cet utilitaire. Cela est la méthode recommandée pour profiter facilement de l'impression sans pilote.

Grâce aux efforts de la communauté sunxi, Debian Buster prend en charge une grande partie des périphériques basés sur la puce Allwinner A64. Cela inclut FriendlyARM NanoPi A64, Olimex A64-OLinuXino et TERES-A64, PINE64 PINE A64/A64+/A64-LTS, SOPINE, et Pinebook, SINOVOIP Banana Pi BPI-M64, et Xunlong Orange Pi Win(Plus).

Les fonctionnalités essentielles de ces périphériques (comme la console série, l'ethernet, l'USB et la sortie vidéo) devraient fonctionner avec le noyau de Buster. Les fonctionnalités plus avancées (comme l'audio ou l'accélération vidéo) sont incluses ou prévues dans des noyaux plus récents qui seront fournis par l'archive backport. Veuillez consulter la page d'état de l'intégration dans la branche principale du noyau.

L'équipe Debian Med a ajouté plusieurs nouveaux paquets et des mises à jour pour les logiciels à visée scientifique et médicale. Le travail pour ajouter l'intégration continue a été (et sera) maintenu.

Pour installer les paquets maintenus par l'équipe Debian Med, il suffit d'installer les méta-paquets appelés med-*. Ceux-ci sont en version 3.3 pour Debian Buster. Vous pouvez aussi consulter les pages des métapaquets Debian Med pour avoir un aperçu de l'étendue des logiciels de médecine et de biologie dans Debian.

Comme l'équipe amont, GNOME utilise par défaut le serveur d'affichage Wayland à la place de Xorg dans Buster. Wayland est de conception plus simple et moderne, ce qui est avantageux en terme de sécurité.

Le serveur d'affichage Xorg est toujours installé par défaut et le gestionnaire de session par défaut offre le choix du serveur d'affichage. Cela peut être nécessaire pour utiliser certaines applications (consultez la Section 5.1.10, « Certaines applications ne fonctionnent pas dans GNOME avec Wayland »).

Ceux qui auraient besoin de certaines fonctionnalités d'accessibilité du serveur d'affichage, par exemple des raccourcis globaux, sont invités à utiliser Xorg à la place de Wayland.

Sur les nouvelles installations, les contenus de /bin, /sbin et /lib seront installés, par défaut, dans leur équivalent sous /usr./bin, /sbin et /lib seront des liens symboliques pointant vers leur équivalent sous /usr/. En d'autres termes :

/bin → /usr/bin
/sbin → /usr/sbin
/lib → /usr/lib
    

Lors de la mise à niveau vers Buster, les systèmes existants sont laissés tels quels. Mais pour les utilisateurs qui souhaitent faire la conversion, il existe le paquet usrmerge. Le projet freedesktop.org héberge un Wiki contenant une grande partie des explications à ce changement.

Ce changement ne devrait pas impacter les utilisateurs qui utilisent uniquement les paquets fournis par Debian, mais cela est important à savoir pour ceux qui utilisent ou construisent des paquets tiers.

L'équipe Debian Live est fière d'annoncer une nouvelle image autonome basée sur LXQt. LXQt est un environnement de bureau léger, basé sur la bibliothèque Qt, qui ne vous déroutera pas. Il ne ralentira ni ne bloquera votre système. C'est un environnement qui utilise la métaphore classique du bureau, avec une apparence moderne.

L'environnement de bureau fourni dans l'image autonome LXQt est « pure », c'est-à-dire non modifiée par rapport à la version amont de LXQt. Ainsi vous pourrez profiter de l'expérience telle que l'ont conçue les développeurs de LXQt pour leur système d'exploitation. L'agencement standard de LXQt contient un unique panneau (barre des tâches) situé en bas de l'écran, avec plusieurs appliquettes utiles, telles que le menu principal, un gestionnaire de tâches, un lanceur d'applications, une zone de notification et un calendrier intégré.

Les images autonomes de Debian Buster sont livrées avec une nouveauté adoptée par un certain nombre d'autres distributions : l'installateur Calamares. Calamares est un projet d'installateur indépendant (appelé aussi « The universal installer framework », le cadriciel d'installation universel) qui propose une interface basée sur la bibliothèque Qt pour installer un système. Il ne remplace pas l'installateur Debian sur les images autonomes, mais vise un autre public.

Calamares est vraiment facile à utiliser, avec un partitionnement guidé et un paramétrage aisé du chiffrement de disque. Il ne contient pas toutes les fonctionnalités avancées de l'installateur Debian (même s'il a récemment intégré la gestion du RAID), ni ne permet une installation automatique. Cependant, pour plus de 95 % des utilisateurs de bureau et de portable, Calamares permet plus facilement d'obtenir un système installé, ce qui le rend très approprié pour les images autonomes. Pour tous ceux qui nécessiteraient des fonctionnalités plus complexes, ou qui font des installations en grand nombre, l'installateur Debian est toujours disponible, à la fois en mode texte et en version graphique.

Debian Live Buster réintroduit l'image autonome standard. C'est une image Debian qui contient un système Debian de base, sans interface graphique. Puisque l'installation se fait depuis une image squashfs, plutôt que d'installer les fichiers avec dpkg, l'installation est beaucoup plus rapide que depuis une image d'installation minimale Debian.