Julian Andres Klode hat am 19. Oktober die Version 3.3.4 des Advanced Packaging Tool in Debian unstable hochgeladen. Das Update bringt zwei lange diskutierte Sicherheitsneuerungen in den Paketmanager, der Debian, Ubuntu und sämtliche Derivate versorgt: Unterstützung für die Hashfunktionen SHA3-256 und SHA3-512 sowie strengere Regeln, die APT jetzt dazu zwingen, Downloads abzulehnen, wenn eine geforderte Prüfsumme nicht berechnet werden kann.
Die SHA3-Erweiterung geht auf einen Vorschlag des Canonical-Entwicklers Gianpiero Carpinelli zurück. Carpinelli hatte den Merge-Request Ende September eingereicht, Anfang Oktober eine überarbeitete Fassung nachgelegt und argumentiert, APT müsse auf den Fall vorbereitet sein, dass SHA-2 während der Lebenszeit aktueller Long-Term-Support-Versionen gebrochen werde. Ubuntu 24.04 LTS erhält Updates bis 2036. „If SHA-2 is broken in that window, clients already deployed must understand a structurally different hash family so archives can move to it“, heißt es im Pull-Request, den Phoronix dokumentiert hat.
If SHA-2 is broken in that window, clients already deployed must understand a structurally different hash family so archives can move to it.
Praktisch ändert sich für Nutzerinnen und Nutzer vorerst nichts. SHA3-Prüfsummen bleiben in der Standardkonfiguration deaktiviert; Repository-Betreiber können die Algorithmen jetzt zusätzlich für Release-, Packages- und Sources-Dateien ausliefern, müssen aber nicht. Die ursprünglich mit vorgeschlagene SHA3-384-Variante wurde im Review verworfen. Fachportale wie der Blog S-EDV werten den Schritt dennoch als Signal: Debian und Ubuntu wollen den Übergang zu Post-SHA2-Hashes nicht erst dann vorbereiten, wenn ein akuter Angriff Druck macht.
Stärkere Download-Prüfung, aber ein Stolperstein in Testing
Die zweite Änderung wirkt leiser, hat im Alltag aber potenziell größere Folgen. APT lehnt Downloads künftig ab, wenn ein benötigter Hash nicht gebildet werden kann - bisher hatte der Paketmanager in Grenzfällen weitergearbeitet. Fehler aus OpenSSL während der Hash-Berechnung reicht APT nun außerdem direkt an die Nutzeroberfläche durch, was die Fehlersuche vereinfachen soll. Dazu kommen kleinere Korrekturen: Sources-Indizes liefern korrekte Prüfsummen, wenn MD5 deaktiviert ist, Bash-Autocompletion wird aus den Parser-Definitionen generiert, und eine neue Datei SECURITY.md benennt den Meldeweg für Sicherheitslücken.
Vorerst bleibt 3.3.4 auf Debian unstable beschränkt. Linuxiac berichtet, dass die Migration nach Testing wegen einer Regression auf der s390x-Architektur blockiert ist. Debian stable und die regulären Ubuntu-Repositories bekommen die Version damit nicht. Für die Diskussion um APT ist das Update trotzdem bemerkenswert: Klode hatte vor einem Jahr eine kontroverse Debatte um harte Rust-Abhängigkeiten im Paketmanager angestoßen, über die LWN im Herbst 2025 ausführlich berichtete. Mit SHA3 und strikterer Hashprüfung liefert er jetzt eine Sicherheitsneuerung, die ohne Toolchain-Streit auskommt - und die Debian-Betreiber können die Umstellung in Ruhe vorbereiten, bevor sie irgendwann notwendig wird.