7.4. La costruzione dell'infrastruttura di sicurezza in Debian
Poiché Debian supporta attualmente un gran numero di architetture, gli amministratori a volte si sorprendono se una determinata architettura impiega più tempo per ricevere gli aggiornamenti per la sicurezza rispetto ad un'altra. È un dato di fatto, tranne in rare circostanze, che gli aggiornamenti siano disponibili per tutte le architetture allo stesso tempo.
Packages in the security archive are autobuilt, just like the regular archive. However, security updates are a little more different than normal uploads sent by package maintainers since, in some cases, before being published they need to wait until they can be tested further, an advisory written, or need to wait for a week or more to avoid publicizing the flaw until all vendors have had a reasonable chance to fix it.
Thus, the security upload archive works with the following procedure:
Qualcuno scopre un problema di sicurezza.
Qualcuno risolve il problema e comincia un aggiornamento su security-master.debian.org (questo qualcuno è solitamente un membro del Security Team ma può anche essere un manutentore di un pacchetto con una correzione appropriata che ha contattato il Security Team in precedenza). Il Changelog include un testing-security o stable-security come distribuzione finale.
L'aggiornamento viene controllato e verificato dal sistema Debian e spostato in coda/accettato e quindi notificato al sistema buildd. Ai file che si trovano qui accede il Security Team e (a volte indirettamente) il sistema buildd.
Il sistema buildd, progettato tenendo anche conto dei problemi di sicurezza, prende il pacchetto sorgente (con una priorità maggiore delle normali costruzioni di pacchetti), lo costruisce ed invia i log al Security Team.
Il Security Team risponde ai log e i nuovi pacchetti costruiti vengono caricati in coda/non_verificata, dove vengono controllati da un sistema Debian e spostati in in_coda/accettati.
Quando il Security Team trova il pacchetto sorgente accettabile (ovvero, che è stato correttamente costruito per tutte le architetture supportate e che corregge i buchi di sicurezza senza introdurne di nuovi) lancia uno script che:
Installa il pacchetto nell'archivio di sicurezza.
Aggiorna i file Packages, Sources e Release di security.debian.org nel solito modo (dpkg-scanpackages, dpkg-scansources ...).
Imposta un template dell'avviso che il Security Team ha finito il suo compito.
forwards the packages to the appropriate proposed-updates so that it can be included in the real archive as soon as possible.
Questa procedura, precedentemente fatta a mano, è stata collaudata ed immessa nello stadio di congelamento di Debian 3.0 woody (luglio 2002). Grazie a questa infrastruttura, il Security Team è stato in grado di avere pacchetti aggiornati pronti per le uscite di Apache ed OpenSSH per tutte le architetture supportate (quasi venti), in meno di un giorno.
7.4.1. Guida degli sviluppatori agli aggiornamenti sulla sicurezza
