APT 3.3.4 unterstützt SHA3 und lehnt ungeprüfte Downloads ab
APT 3.3.4 bringt SHA3-256 und SHA3-512 in die Hash-Bibliothek und lehnt Downloads ab, deren Hash nicht berechnet werden kann. Die Version ist am 19. Oktober in Debian unstable erschienen. Für Debian stable und Ubuntu ändert sich vorerst nichts, Repository-Betreiber können planen.
Der Paketmanager APT unterstützt ab Version 3.3.4 die Prüfsummen SHA3-256 und SHA3-512. APT-Maintainer Julian Andres Klode hat die Version am 19. Oktober 2026 für Debian unstable hochgeladen. Damit ist die SHA3-Unterstützung, die S-EDV Anfang Oktober noch als offenen Merge Request beschrieben hat, offiziell in APT angekommen. Zusätzlich verschärft 3.3.4 die Prüfung von Downloads: Kann APT einen erforderlichen Hash nicht berechnen, wird der Download jetzt abgelehnt.
Für Server mit Debian stable oder Ubuntu ändert sich heute nichts. APT 3.3.4 gehört zur Entwicklungsreihe für Debian unstable und erscheint nicht in den regulären Paketquellen stabiler Releases. Interessant ist die Meldung vor allem für Betreiber eigener Repositories und Mirrors sowie für Entwickler von Werkzeugen, die Repository-Metadaten auswerten. Handlungsbedarf besteht nicht, wohl aber ein Anlass zur Planung.
Was ist neu in APT 3.3.4?
Laut Debian-Changelog bringt die Version mehrere Änderungen an der Hash-Verarbeitung, die von Canonical-Entwickler Gianpiero Carpinelli stammen:
- SHA3-256 und SHA3-512 sind in die Hash-Bibliothek von APT aufgenommen.
- Härtung: Downloads, deren Hash sich nicht berechnen lässt, werden abgelehnt, statt ohne die erwartete Prüfung weiterzulaufen.
- Fehlermeldungen: Fehler von OpenSSL beim Hashen werden jetzt gemeldet.
- Korrektur: Falsche Prüfsummen in Sources-Indizes bei deaktiviertem MD5 sind behoben.
- Cache: Der Hash-Cache gibt nur noch die angeforderten Hashes heraus.
- Aufräumen: Die unterstützten Algorithmen sind an einer Stelle definiert, eine if-Kette wurde durch eine Schleife ersetzt.
Daneben erweitert 3.3.4 die Kommandozeilenhilfe auf die übrigen apt-Befehle, gruppiert Optionen mit Namen und erzeugt die Bash-Vervollständigung direkt aus dem deklarativen Optionsparser. Neu ist außerdem eine Datei SECURITY.md mit Hinweisen zur Meldung von Sicherheitsproblemen.
Was SHA3 im Paketsystem bringt
APT prüft Release-, Packages- und Sources-Dateien bislang mit Prüfsummen der SHA-2-Familie. SHA-2 gilt weiterhin als sicher. Mit SHA3 kommt eine intern völlig anders aufgebaute Hashfamilie hinzu. Sollte SHA-2 während der langen Supportzeiträume von Distributionen geschwächt werden, könnten Archive auf SHA3 umstellen, ohne dass Clients erst nachgerüstet werden müssen.
Wie Linuxiac berichtet, bleibt das Erzeugen von SHA3-Prüfsummen standardmäßig ausgeschaltet. Das bestehende Verhalten ändert sich also nicht, solange die neuen Algorithmen nicht ausdrücklich aktiviert werden. Der zugrunde liegende Merge Request sieht vor, dass apt-ftparchive die SHA3-Felder nur auf Wunsch schreibt.
Für wen ist das relevant?
- Betreiber eigener Repositories und Mirrors, die Metadaten mit apt-ftparchive, aptly oder reprepro erzeugen, können künftig zusätzliche SHA3-Felder anbieten.
- Entwickler von Werkzeugen, die Release- oder Packages-Dateien parsen, sollten mit neuen Feldern rechnen.
- Admins mit Debian unstable erhalten die neue Version direkt und profitieren von der strengeren Hashprüfung.
- Nicht betroffen sind Server mit Debian stable oder Ubuntu, die nur offizielle Paketquellen nutzen.
Stand der Verteilung
Im Debian-Paket-Tracker war APT 3.3.4 zum Zeitpunkt der Recherche in unstable angekommen. Die Migration nach testing war dort als blockiert vermerkt, weil ein automatisierter Test auf der Architektur s390x eine Regression meldete. Auf den übrigen geprüften Architekturen liefen die Tests durch. Wann die Version testing erreicht, ist damit offen. Ob und wann Debian oder Ubuntu ihre offiziellen Archive mit SHA3-Prüfsummen ausstatten, ist ebenfalls nicht angekündigt.
Was Admins jetzt tun sollten
- Inventar prüfen: Mit
apt --versionden APT-Stand der Systeme feststellen und eigene Repositories samt dem Werkzeug erfassen, das ihre Metadaten erzeugt. - Release-Dateien ansehen: Prüfen, welche Hashfelder die eigenen Release-Dateien heute enthalten.
- Parser testen: Eigene Skripte und Werkzeuge, die Release- oder Packages-Dateien auswerten, gegen unbekannte zusätzliche Felder absichern.
- Nicht vorgreifen: Auf stabilen Systemen keine APT-Version aus unstable einspielen, nur um SHA3 zu testen. Für Tests eignet sich ein Container oder eine VM mit Debian unstable.
- Entwicklung verfolgen: Den Übergang nach testing und mögliche Rückportierungen beobachten, bevor Repositories umgestellt werden.
Passende Anleitungen auf S-EDV
- APT bekommt SHA3: Hintergrund zum ursprünglichen Merge Request, zu den Feldnamen und zu apt-ftparchive.
- Pakete verwalten mit APT und dpkg: Grundlagen zur Paketverwaltung auf Debian und Ubuntu.
- Unattended Upgrades einrichten: automatische Sicherheitsupdates für stabile Systeme.
