Capítulo 5. Problemas a serem considerados para a stretch

	Nota
	Esta seção somente se aplica a sistemas que usam um kernel personalizado, onde /usr está em um ponto de montagem separado de /. Se você usa os pacotes de kernel fornecidos pelo Debian, você não é afetado por esse problema.

A montagem de /usr usando somente ferramentas encontradas em / não tem mais suporte. Isso tem funcionado somente para algumas poucas configurações específicas no passado, e agora elas estão explicitamente sem suporte.

Isso significa que para a stretch todos os sistemas onde /usr seja uma partição separada precisam usar um gerador de initramfs que montará /usr. Todos os geradores de initramfs na stretch fazem isso.

Os espelhos hospedados pelo Debian cessarão o fornecimento de acesso via FTP. Se você tem usado o protocolo ftp: no seu sources.list, por favor, migre para http:. Por favor, considere o seguinte exemplo para a migração:

deb http://deb.debian.org/debian          stretch         main
deb http://deb.debian.org/debian-security stretch/updates main

# variante tor (requer apt-transport-tor)
# deb  tor+http://vwakviie2ienjx6t.onion/debian          stretch            main
# deb  tor+http://sgvtcaew4bxjd7ln.onion/debian-security stretch/updates    main

Os exemplos acima não incluem non-free e contrib. Por favor, lembre-se de incluí-los caso você precise desses componentes habilitados.

Para mais informação, por favor, consulte este anúncio: Shutting down public FTP services.

A seguinte lista é de pacotes conhecidos e obsoletos dignos de nota (veja Seção 4.8, “Pacotes obsoletos” para uma descrição).

A lista de pacotes obsoletos inclui:

Quando o apt-get dist-upgrade terminar, a atualização “formal” estará completa. Para a atualização da stretch, não é necessária nenhuma ação especial antes de executar uma reinicialização.

Por padrão, o compilador GNU GCC 6 fornecido pelo Debian stretch compilará todos os executáveis como independentes de posição. Isso fornece uma forma de mitigar uma classe inteira de vulnerabilidades.

Infelizmente, o kernel Linux fornecido no Debian 8 (até o 8.7) apresenta um problema que pode fazer com que alguns programas compilados como executáveis independentes de posição falhem com uma mensagem não descritiva como falha de segmentação. Esse problema está resolvido na versão de Linux fornecida na 8.8 (versão 3.16.43 ou posterior) e no kernel fornecido no Debian 9 (versão 4.9 ou posterior).

We recommend that you upgrade your kernel to a fixed version and then reboot before starting the upgrade to stretch. If you are running the kernel from Debian 8.8 or newer, you are not affected by this issue.

Se você estiver executando uma versão afetada do kernel durante a atualização, nós recomendamos fortemente que você faça uma reinicialização no kernel da stretch imediatamente depois da atualização para evitar de ser atingido por esse problema.

5.1.5.1. Mudanças de comportamento de PIE para administradores de sistemas e desenvolvedores

	Nota
	Esta seção é direcionada principalmente a desenvolvedores ou administradores de sistemas. Usuários de desktop dificilmente serão afetados por esta seção.

O que foi citado acima também leva a algumas mudanças das quais deve-se estar ciente.

• A ferramenta file (entre outras) classificará tais binários como um “objeto compartilhado” em vez de um “executável”. Se você tiver filtros baseados em arquivos binários, pode ser preciso atualizá-los (por exemplo, filtros de spam).

• Bibliotecas estáticas sendo compiladas em um executável agora também precisam ser compiladas como código independente de posição. A seguinte mensagem de erro do "linker" é um sintoma disso:

  relocação ... contra "[SÍMBOLO]" não pode ser usada ao fazer um objeto compartilhado; recompile com -fPIC
  

  Note que, mesmo apesar de a mensagem de erro dizer -fPIC, é suficiente recompilar com -fPIE (que é o padrão nos pacotes GCC 6 que são parte da stretch).

• Historicamente, executáveis independentes de posição têm sido associados com perda de desempenho em alguns tipos de equipamento. Notadamente, a arquitetura Debian i386 (máquinas Intel 32-bit). Enquanto o GCC 5 e o GCC 6 têm grandemente melhorado o desempenho para executáveis independentes de posição em Intel 32-bit, essa otimização pode não ser aplicável para todas as arquiteturas. Por favor, considere avaliar o desempenho do seu código se você estiver usando como alvo arquiteturas de máquina com um número muito limitado de registradores.

Devido à falta de interesse e testabilidade, o Debian removeu a vasta maioria dos pacotes de compatibilidade com a "Linux Standard Base" (LSB).

O Debian ainda fornecerá alguns poucos utilitários LSB chave usados internamente e externamente, tais como lsb-release e as funções de inicialização do sysvinit em lsb-base. Além disso, o Debian ainda firmemente apresenta suporte ao "Filesystem Hierarchy Standard" (FHS) versão 2.3 com as pequenas alterações descritas no Manual de Políticas Debian.

O Debian 9 inclui diversos motores de navegadores que são afetados por um fluxo constante de vulnerabilidades de segurança. A alta taxa de vulnerabilidades e a ausência parcial de suporte do upstream na forma de ramos de longo prazo tornam muito difícil o suporte a esses navegadores com correções de segurança portadas retroativamente. Além disso, as interdependências das bibliotecas tornam impossível atualizar para uma versão upstream mais nova. Por isso, navegadores feitos sobre os motores webkit, qtwebkit e khtml foram incluídos na stretch, mas não estão cobertos pelo suporte de segurança. Esses navegadores não devem ser usados em sites web não confiáveis.

Para uso geral de navegador web recomendamos Firefox ou Chromium.

Chromium - enquanto construído sobre a base de código Webkit - é um pacote sem dependência, que será mantido atualizado através da reconstrução das versões atuais do Chromium para a estável. O Firefox e o Thunderbird também serão mantidos atualizados através da reconstrução das versões ESR atuais para a estável.

A plataforma Node.js é construída em cima da libv8-3.14, que vivencia um alto volume de problemas de segurança, mas atualmente não há voluntários no projeto ou na equipe de segurança suficientemente interessados e dispostos a gastar a grande quantidade de tempo necessária para conter esses problemas encontrados.

Infelizmente, isso significa que a libv8-3.14, o nodejs e o ecossistema de pacotes node-* associados não devem ser atualmente utilizados com conteúdo não confiável, tal como dados não avaliados oriundos da Internet.

Além disso, esses pacotes não receberão quaisquer atualizações de segurança durante o tempo de vida da versão stretch.

O OpenSSH versão 7 desabilitou algumas cifras antigas e o protocolo SSH1 por padrão. Por favor, seja cuidadoso ao atualizar máquinas nas quais você somente tem acesso via SSH.

Além disso, o valor padrão da opção de configuração "UseDNS" mudou de sim para não. Isso pode causar o bloqueio de usuários que usam a funcionalidade "from=" em authorized_keys para limitar o acesso ssh por máquina, o que é especialmente problemático ao atualizar remotamente.

Por favor, veja a documentação do OpenSSH para mais informação.

Esta seção aborda algumas mudanças incompatíveis no APT que podem afetar o seu sistema.

5.3.2.3. Novos requisitos para repositório APT

	Nota
	Esta seção somente se aplica se você tem (ou pretende ter) repositórios de terceiros habilitados ou se você mantém um repositório APT.

Para melhorar a estabilidade do download e assegurar a segurança do conteúdo baixado, o APT agora exige o seguinte de um repositório APT:

• O arquivo InRelease deve estar disponível.

• Todos os metadados devem incluir pelo menos somas de verificação SHA256 de todos os itens. Isso inclui a assinatura GPG do arquivo InRelease.

• Assinaturas no arquivo InRelease devem ser feitas com um tamanho de chave de 2048 bits ou maior.

Se você depende de um repositório de terceiros que não consegue atender os requisitos acima, por favor, encoraje-os a atualizarem o repositório. Mais informação sobre o arquivo InRelease pode ser encontrada na Wiki do Debian.

	Nota
	Esta seção somente é relevante se você ajustou ou precisa mudar a configuração padrão de entrada do Xorg.

Na jessie, o driver padrão de entrada para o Xorg é o driver evdev. Na stretch, o padrão mudou para libinput. Se você tem uma configuração do Xorg que depende do driver evdev, você terá que convertê-la para o driver libinput ou reconfigurar o seu sistema para usar o driver evdev.

O que segue é uma configuração de exemplo para libinput para habilitar a funcionalidade “Emulate3Buttons”.

Section "InputClass"
        Identifier "mouse"
        MatchIsPointer "on"
        Driver "libinput"
        Option "MiddleEmulation" "on"
EndSection

Insira-a em /etc/X11/xorg.conf.d/41-middle-emulation.conf, reinicialize o computador (ou reinicie o seu Xserver) e ela deverá estar agora habilitada.

O driver evdev ainda está disponível no pacote xserver-xorg-input-evdev.

Devido à falta de mantenedores no upstream, o sistema de inicialização Upstart foi removido da stretch. Se o seu sistema depende desse pacote, você deve notar que ele não será atualizado durante o tempo de vida do Debian 9 e, a partir do Debian 10 (burster), trabalhos do Upstart poderão ser removidos dos pacotes.

Por favor, considere mudar para um sistema de inicialização com suporte, como systemd ou OpenRC.

	Nota
	Esta seção é direcionada principalmente a desenvolvedores ou organizações que constroem os seus próprios pacotes debian.

A suíte de ferramentas debhelper agora gerará pacotes dbgsym por padrão para binários ELF. Se você desenvolve e empacota binários, por favor, verifique se as suas ferramentas têm suporte a esses pacotes extras gerados automaticamente.

Se você usa reprepro, você deve atualizá-lo para a versão 4.17.0 pelo menos. Para aptly, você precisará pelo menos a versão 1.0.0, que infelizmente não está disponível no Debian stretch.

Caso as suas ferramentas não sejam capazes de lidar com isso adequadamente, você pedir ao debhelper que desabilite essa funcionalidade adicionando “noautodbgsym” na variável DEB_BUILD_OPTIONS do seu serviço de construção. Por favor, veja a página de manual do dh_strip para mais informação.

O aplicativo openssl espera argumentos do tipo opção antes de argumentos do tipo não opção. Por exemplo, isto não funciona mais:

openssl dsaparam 2048 -out file

enquanto isto ainda funciona:

openssl dsaparam -out file 2048

O comando openssl enc mudou o "digest" (usado para criar a chave a partir da "passphrase") de MD5 para SHA256. O "digest" pode ser especificado com a opção -md no caso de arquivos antigos precisarem ser descriptografados com um OpenSSL mais novo (ou vice-versa).

As cifras 3DES e RC4 não estão mais disponíveis para comunicação TLS/SSL. Servidores que usam OpenSSL não podem oferecê-las e clientes não podem conectar a servidores que oferecem somente elas. Isso significa que o OpenSSL e o Windows XP não compartilham nenhuma cifra em comum.

O pacote libssl-dev fornece arquivos de cabeçalho para compilar contra o OpenSSL 1.1.0. A API mudou consideravelmente e é possível que o software não vá compilar mais. Existe uma visão geral das mudanças. Se você não pode atualizar o seu software, existe também o pacote libssl1.0-dev, que fornece cabeçalhos para o OpenSSL 1.0.2.

O pacote da linguagem procedural PostgreSQL PL/Perl na jessie é incompatível com a versão do Perl na stretch. O pacote postgresql-plperl-9.4 será removido durante a atualização, tornando procedimentos Perl no lado do servidor disfuncionais. Atualizar para PostgreSQL 9.6 não deverá ser afetado; os procedimentos funcionarão no novo cluster PostgreSQL se o pacote postgresql-plperl-9.6 estiver instalado. Em caso de dúvida, faça uma cópia de segurança de seus clusters PostgreSQL 9.4 antes de atualizar para a stretch.

O pacote net-tools não faz mais parte de novas instalações por padrão, uma vez que a sua prioridade foi rebaixada de importante para opcional. Os usuários são aconselhados a usar o moderno conjunto de ferramentas iproute2 no seu lugar (que tem sido parte de novas instalações já por vários lançamentos). Se você ainda prefere continuar usando os programas do net-tools, você pode simplesmente instalá-los via

apt install net-tools

	Atenção
	Por favor, tenha em mente que o net-tools pode ser desinstalado durante a atualização se ele foi instalado somente para satisfazer uma dependência. Se você depende do net-tools, por favor, lembre-se de marcá-lo como um pacote instalado manualmente antes da atualização via: apt-mark manual net-tools

Aqui está um resumo dos comandos do net-tools, junto com os seus equivalentes do iproute2:

	Nota
	Isso somente se aplica a sistemas que têm dispositivos ATA over ethernet (AoE) montados. Se o sistema não monta nenhum compartilhamento de rede, você pode pular esta seção com segurança.

Devido a uma limpeza na forma de lidar com a desconfiguração de rede, dispositivos AoE em uso não são mais tratados como o esperado durante o desligamento, possivelmente resultando em travamentos e/ou perda de dados. Para mitigar essa situação, é sugerido montar tais dispositivos usando a opção de montagem _netdev. Essa opção está disponível ao usar swap sobre AoE também.

Durante a atualização, você poderá ver alguns avisos como:

Unescaped left brace in regex is deprecated, passed through in regex; marked by <-- HERE in m/^(.*?)(\\)?\${ <-- HERE ([^{}]+)}(.*)$/ at /usr/share/perl5/Debconf/Question.pm line 72.
Unescaped left brace in regex is deprecated, passed through in regex; marked by <-- HERE in m/\${ <-- HERE ([^}]+)}/ at /usr/share/perl5/Debconf/Config.pm line 30.

Isso é inofensivo e acontece se o pacote perl-base é atualizado antes do pacote debconf.

	Nota
	Esta seção somente se aplica a sistemas que estejam usando SELinux, o que não é habilitado por padrão.

Na stretch, o armazenamento de políticas SELinux foi movido de /etc/selinux/<nome_da_politica> para /var/lib/selinux/<nome_da_politica>. Além disso, o formato usado dentro do armazenamento mudou.

As políticas fornecidas pelo Debian (por exemplo, a partir do pacote selinux-policy-default) serão migradas automaticamente. Entretanto, políticas específicas do sistema precisam ser migradas manualmente.

O pacote semanage-utils fornece o script /usr/lib/selinux/semanage_migrate_store para fazer essa transição.

O iSCSI Enterprise Target (IET), empacotado no pacote iscsitarget em lançamentos anteriores, não está mais presente no Debian, uma vez que ele não funciona mais com versões recentes do kernel, e o projeto não teve mais atividade de desenvolvimento nos últimos anos.

Os usuários do IET são encorajados a migrarem para a pilha LIO, que tem suporte total no Debian stretch. O pacote targetcli-fb fornece o utilitário de configuração para o alvo iSCSI LIO.

Como a pilha LIO foi desenvolvida independentemente do IET, a configuração deve ser migrada manualmente.