Debian 10 Buster 即将发布。第一个发布候选版已经发布，我们预期可以在几周内见到待最终版。

如果你期待对这个新的主要发布版本，让我告诉你里面有什么。

Debian 10 Buster 发布计划

Debian 10 Buster 的发布日期并没有确定。为什么这样呢？不像其他分发版，Debian 并不基于时间发布。相反地它主要关注于修复 发布版重要 Bug release-critical bug 。发布版重要 Bug 要么是严重的安全问题（CVE），要么是一些其他阻止 Debian 发布的严重问题。

Debian 在它的软件归档中分为三个部分，叫做 Main、contrib 和 non-free。在这三者之中，Debian 开发者和发布管理者最关心的包组成了该分发版的基石。Main 是像石头一样稳定的。因此他们要确保那里没有主要的功能或者安全问题。他们同样给予了不同的优先级，例如 Essential、Required、Important、Standard、Optional 和 Extra。更多关于此方面的知识参考后续的 Debian 文章。

这是必要的，因为 Debian 在很多环境中被用作服务器，人们已经变得依赖 Debian。他们同样看重升级周期是否有破环，因此他们寻找人们来测试，来查看当升级的时候是否有破坏并通知 Debian 有这样的问题。

这种提交方式带来的稳定性是我喜欢 Debian 的众多原因之一。

Debian 10 Buster 版本的新内容

这里是即将到来的 Debian 主要发布版的一些视觉上和内部的改变。

新的主题和壁纸

Buster 的 Debian 主题被称为 FuturePrototype 并且看起来如下图：

1、GNOME 桌面 3.30

Debian Stretch 版中的 GNOME 桌面在 Buster 中从 1.3.22 升级到了 1.3.30。在 GNOME 桌面发布版中新包含的一些包是 gnome-todo、tracker 替代了 tracker-gui、gstreamer1.0-packagekit 的依赖，因此可以通过自动地安装编码解码器来做播放电影之类的事。对于所有包来说一个大的改变是从 libgtk2+ 到 libgtk3+。

2、Linux 内核 4.19.0-4

Debian 使用 LTS 内核版本，因此你可以期待更好的硬件支持和长达 5 年的维护和支持周期。我们已经从内核 4.9.0.3 到 4.19.0-4。

$ uname -r
4.19.0-4-amd64

3、OpenJDK 11.0

Debian 在很长时间里都是 OpenJDK 8.0。现在在 Debian Buster 里我们已经升级为 OpenJDK 11.0，并且会有一个团队维护新的版本。

4、默认启用 AppArmor

在 Debian Buster 中是默认启用 AppArmor 的。这是一个好事，谨慎是系统管理员必须采取的正确策略。这仅仅是第一步，并且可能需要修复很多对用户觉得有用的脚本。

5、Nodejs 10.15.2

在很长一段时间里 Debian 在仓库中都只有 Nodejs 4.8。在这个周期里 Debian 已经移到 Nodejs 10.15.2。事实上，Debian Buster 有很多 javascript 库例如 yarnpkg （一个 nmp 的替代品）等等。

当然，你可以从该项目仓库在 Debian 中安装最新的 Nodejs，但是从 Debian 仓库中看到更新的版本是很棒的。

6、NFtables 替代了 iptables

Debian Buster 提供了 nftables 来完整地替代了 iptables，因为它有更好、更简单的语法，更好的支持双栈 ipv4/v6 防火墙等等。

7、支持更多的 ARM 64 和 ARMHF 的单板机。

Debian 已经支持一些常见的新的单板机，其中最新的包括 pine64\_plus、ARM64 的 pinebook、Firefly-RK3288、ARMHF 64 的 u-boot-rockchip 以及 Odroid HC1/HC2 板、SolidRun Cubox-i 双核/四核（1.5som）和 SolidRun Cubox-i 双核/四核（1.5som+emmc）板、Cubietruckplus 等。同样支持 Rock 64、Banana Pi M2 Berry、Pine A64 LTS Board、Olimex A64 Teres-1 与 Rapberry Pi 1、Zero 和 Pi 3。对于 RISC-V 系统同样支持开箱即用。

8、Python 2 已死，Python 3 长存

在 2020 年 1 月 1 日，Python 2 将被 python.org 废弃。在 Debian 将所有的软件包从 Python 2.7 移到 Python 3 以后，Python 2.7 将从软件仓库中移除。这可能发生在 Buster 发布版或者将来的某个发布版，这是肯定要来临的。因此 Python 开发者被鼓励移植他们的代码库来兼容 Python 3。在写本文的时候，在 Debian Buster 中同时支持 python2 和 pythone3。

9、Mailman 3

在 Debian 中终于可以使用 Mailman3 了。同时 Mailman 已经被细分成为组件。要安装整个软件栈，可以安装 mailman3-full 来获取所有组件。

10、任意已有的 Postgresql 数据库将需要重新索引

由于 glibc 本地数据的更新，放入文本索引中的信息排序的方式将会改变，因为重新索引是有益的，这样在将来就不会有数据破坏发生。

11、默认 Bash 5.0

你可能已经了解了 Bash 5.0 的新特点，在 Debian 中已经是该版本了。

12、Debian 实现 /usr/merge

我们已经分享过一个优秀的 freedesktop 读物，介绍了 /usr/merge 带来了什么。有一些事项需要注意。当 Debian 想要整个过渡时，可能由于未预见的情况，一些二进制文件可能并没有做这些改变。需要指出的一点是，/var 和 /etc 不会被触及，因此使用容器或者云技术的不需要考虑太多 :)。

13、支持安全启动

在 Buster RC1 中，Debian 现在支持 安全启动 secure-boot 。这意味着打开了安全启动设置的机器应该能够轻松安装 Debian。不再需要禁止或者处理安全启动的事 :)

14、Debian-Live 镜像的 Calameres Live-installer

对于 Debian Buster 的 Live 版，Debian 引入了 Calameres 安装器来替代老的 Debian-installer。Debian-installer 比 Calameres 功能更多，但对于初学者，Calameres 相对于 Debian-installer 提供了另外一种全新的安装方式。安装过程的截图：

如图所见，在 Calamares 下安装 Debian 相当简单，只要经历 5 个步骤你就能在你的机器上安装 Debian。

下载 Debian 10 Live 镜像 （只用于测试）

现在还不要将它用于生产机器。可以在测试机上尝试或者一个虚拟机。

你可以从 Debian Live 目录获取 Debian 64 位和 32 位的镜像。如果你想要 64 位的就进入 64-bit 目录，如果你想要 32 位的，就进入 32-bit 目录。

• 下载 Debian 10 Buster Live Images

如果你从已存在的稳定版升级并且出现了一些问题，查看它是否在预安装的升级报告中提及了，使用 reportbug 报告你看到的问题。如果 bug 没有被报告，那么请尽可能地报告和分享更多地信息。

总结

当上千个包被升级时，看起来不可能一一列出。我已经列出了一些你在 Debian Buster 可以找到的一些主要的改变。你怎么看呢？

via: https://itsfoss.com/new-features-coming-to-debian-10-buster-release/

作者：Shirish 选题：lujun9972 译者：warmfrog 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Tobii 是一家专注于眼动追踪技术的科技企业，周五的时候，该公司宣布了可以让你的视线离开计算机时，保护屏幕信息隐私的新软件“Aware”。据悉，其适用于任何配备了 Windows Hello 功能的设备，当用户视线暂时离开屏幕时，它将模糊并锁定屏幕。该公司称，当您回头与他人交谈、望向窗外、或者临时出去喝一杯咖啡的时候，Aware 可以及时地帮你保护显示器上的信息隐私。

这项技术还可以让屏幕变暗，以节省电量。通过多显示器设置，Aware 能够瞬间将光标（甚至窗口）发送到另一台屏幕。最后，软件会记录屏幕使用时间，并在必要时给出休息提醒。

软件适配方面，其支持几乎任何运行 Windows RS5+ 操作系统、且配备了 Windows Hello 摄像头的系统。

来源：cnBeta.COM

更多资讯

俄媒：阿桑奇可能受到美《间谍法》指控

在美国已提出引渡要求的情况下，5 月 2 日，现年 47 岁的维基解密网站创始人阿桑奇将在英国出庭接受引渡听证。俄罗斯 RT 电视台 27 日消息说，美国司法部一份文件显示，阿桑奇可能会因泄露机密材料而受到 《1917 年间谍法》 （ Espionage Act ） 指控。而根据该法案被定罪的人，可能会被处以死刑。

来源： 环球科技

详情： http://t.cn/ES7of9G

在美 100 辆共享奔驰车遭黑客入侵被盗，中国暂停运营

近日，据美国科技网站 TheVerge 报道，德国汽车租赁公司 Car2Go 在遭遇“黑客袭击”后，丢失了多达 100 辆奔驰豪华轿车。到目前为止，已有 21 人因涉嫌参与劫持汽车，并将其用于各种犯罪的计划而受到指控。

来源： 北京时间财经

详情： http://t.cn/ES7oX5S

联通移动发声：对涉嫌营销扰民电话号码依法处置

4 月 27 日，部分用户接收到中国联通发送的短信：根据国家有关规定，未经用户同意，任何组织和个人不得擅自向用户拨打商业营销电话。为维护用户合法权益，我们将对涉嫌营销扰民的电话号码进行依法处置。中国联通呼吁广大用户与我们携手抵制骚扰电话，共同营造清朗的通信环境。

来源： 中新网
详情： http://t.cn/ES7oKqk

凌晨 4 小时，三个“黑客”疯狂盗转 30 多万

今年 1 月 24 日，杭州某电商公司发现公司账户的钱被转走，根据系统显示，1 月 24 日凌晨 4 点多，先后有三位用户注册了他们公司的 APP，并通过技术手段篡改积分数据，先后盗转资金 30 多万元，简单说，公司的 APP 平台被“黑客”攻击了。

来源： 钱江晚报

详情： http://t.cn/ES7oNU1

（信息来源于网络，安华金和搜集整理）

恶意软件开发人员通过将恶意代码嵌入到硬件固件中让其更加狡猾，但北卡罗来纳州立大学和德克萨斯大学奥斯汀分校的研究人员已经开发出一种可靠的识别此类入侵的方法。通过测量系统及其中每个组件的功耗，可以确定存在恶意软件的类型。研究由洛克希德马丁公司和国家科学基金会赞助。

微架构攻击的本质使它们很难被发现，但研究人员找到了一种方法来检测它们。台式电脑不是这种创新的主要应用。物联网设备和工业嵌入式系统是重要的用例，这多这种设备没有操作系统，并且仅执行存储在非易失性存储器的一小部分机器代码。在部署到现实世界的大多数嵌入式系统中，防病毒软件甚至都不实用。

监控电源使用本身并不是一个新概念，但是能够与各种系统一起工作的即插即用解决方案的想法很有趣。唯一需要注意的是，写得非常仔细的恶意软件可以尝试表现出正常的功耗。在这些情况下，有时研究人员的工具无法检测到恶意软件的存在。然而，恶意软件窃取数据的速度会减慢 86% 至 97%，这对善于掩盖其踪迹的黑客来说是一个重大损失。

来源：cnBeta.COM

更多资讯

人民日报海外版：对 App 乱象“零容忍”

不同意授权某 App（移动互联网应用程序），许多功能就无法使用；在某 App 留下个人信息后很快收到骚扰电话；打开一款社交软件却看到大量涉黄信息……部分 App 乱象令许多用户苦不堪言。日前，国家网信办等相关部门果断出手，对 App 乱象“零容忍”，为网民营造风清气正的网络空间。

来源： 人民日报海外版

详情： http://t.cn/EaFhRjx

泄露 5 千万用户数据？京东回应：请勿造谣传谣

昨今日京东官方微博@京东发言人针对外界谣传“京东泄露的 5 千万用户数据”一事，回应称：这些数据不是京东账号数据，请勿造谣传谣。京东称，经过示例数据查验，确认这些数据不是京东账号数据，另外还提醒：买卖公民个人隐私数据涉嫌触犯刑法。

来源： 凤凰网科技

详情： http://t.cn/EaFhE3e

美军警告日本：F35 或遭黑客攻击，飞行员驾机会昏迷

日本首架坠毁的 F-35A 隐身战斗机和机上飞行员至今仍未找到，但由美国方面主导的事故调查却取得重大进展。日本经济新闻社 4 月 25 日披露，美国军方向日本防卫省发出紧急警告，称 F-35 战机可能受到了黑客攻击。目前美方已将战机坠毁的原因归结为“突发性系统故障”，其中机载氧气生成系统出问题的可能性最大。也就是说，至今仍失联的 41 岁空自少校飞行员在驾机时可能因缺氧而昏迷，F-35A 战机在失去人工控制后坠毁。

来源：新浪军事

详情： http://t.cn/EaFhmyX

马国 VEP 网站漏洞 新加坡驾车人士资料或遭泄露

马来西亚陆路交通局的外国车辆入境准证（VEP）网站存在安全漏洞，包括新加坡驾车人士在内的数以千计的外籍驾车人士的个人资料，可能遭泄露。

来源： 联合早报

详情： http://t.cn/EaFhucK

（信息来源于网络，安华金和搜集整理）

Quick News

微软正在考虑放弃其 Windows 密码过期策略

微软考虑在 Windows 废除要求用户定期更改其登录密码的策略，以让用户养成使用更加鲁棒的密码。微软表示，现有的密码更改政策是“非常低价值的古老而过时的缓解”，该公司不“觉得它有用”。

定期密码到期只是针对密码（或散列）在其有效时间内被盗并且被未经授权使用的概率而制定的策略。如果密码永远不会被盗，则无需使密码过期。如果你有证据证明密码被盗，你应该立即采取行动，而不是等待到期以解决问题。【TechCrunch】

Godaddy 关闭了超过了 15000 个 Spam 子域名

Godaddy 和 安全公司 Palo Alto Networks 联合，处理了超过 15000 个子域名，这些子域名过去被用于虚假营销。【Wired】

微软将比我们想象的更快在 macOS 上发布基于 Chrome 内核的 Edge

根据德国媒体 Windows United 报道，在 Windows 2016 上访问新的 Edge 浏览器的官网时，会提醒暂时不支持该系统，并提示目前仅支持 Windows 和 macOS ，由此推断出微软应该很快放出 macOS 下基于 Chrome 内核的 Edge 浏览器。【Windows United】

AWS 进入香港云计算市场

亚马逊在本周四开放了新的 Region —— 香港 ，从今天开始，用户可以使用 AWS 的香港服务。【ZDNet】

除了阿里云的香港、腾讯云的香港，目前我们在香港云服务器上有了新的选择。对于国内开发者来说，是一大利好。

援引外媒 Motherboard 报道，一名黑客成功入侵了两款 GPS 定位追踪应用，从而允许让他监控数万辆汽车的位置，甚至能够关闭部分汽车的引擎。这名叫做 L&M 的黑客成功入侵了 7000 多个 iTrack 账号以及超过 20,000 个 ProTrack 账户，这两款应用被用于监控和管理车队的。该黑客可以跟踪南非，摩洛哥，印度和菲律宾等少数国家的车辆。

根据部分 GPS 定位追踪设备厂商的设定，如果车辆停靠或者车速低于每小时 12 英里就可以进行远程关闭汽车引擎，而黑客在成功入侵之后可以操控擅自关闭这些汽车引擎。通过对 ProTrack 和 iTrack 的 Android 应用程序进行逆向工程，L&M 表示所有客户在注册时都会获得默认密码 123456。

随后他使用应用的 API 强行调取了数百万用户名称，然后使用定制的脚本使用这些用户名和默认秘密进行登陆。这允许他控制了数万个使用默认密码的账号，并提取了相关信息。

根据 L&M 提交给 Motherboard 的用户数据样本来看，黑客从 ProTrack 和 iTrack 客户那里搜集了大量信息，包括他们所使用的 GPS 跟踪设备的名称、型号、设备的唯一 ID 号（技术上称为 IMEI 号码）、用户名、真实姓名、电话号码、电子邮件地址和物理地址。

L&M 表示他的攻击目标是公司，而不是客户。正是这些公司的疏忽导致客户存在安全风险，它们只是想要牟利，而并不想要保护他们的客户。L&M 表示：“我绝对可以在全球范围内造成大规模的交通事故。我已经控制了上万辆汽车，只要我点击我就可以关闭他们的汽车引擎。”但是 L&M 表示从未关闭过汽车引擎，因为他认为这样太危险了。

虽然黑客没有证明他能够关闭汽车引擎，但是 Concox（ProTrack GPS 和 iTrack 的 GPS 设备制造商之一）的发言人向Motherboard 确认如果车辆低于每小时 20 公里（大约每小时12英里），可以远程关闭汽车引擎。根据黑客提供的截图，这些应用程序具有“停止引擎”的功能。

来源：cnBeta.COM

更多资讯

安全漏洞允许攻击者从高通芯片窃取私钥

高通芯片组被广泛用于智能手机和平板，但这些芯片组的一个安全漏洞将允许攻击者从被称为 Qualcomm Secure Execution Environment（QSEE）的芯片安全域窃取私钥和加密密钥。

来源： solidot.org

详情： http://t.cn/Ea3nsCb

Mac 恶意软件威胁在 2019 年一季度上涨超 60%，广告软件涨幅更甚

根据 Malwarebytes 新发布的报告，针对 Mac 用户的恶意软件威胁，已经在短短 3 个月内出现了大幅增长。与 2018 年四季度相比，今年一季度检出的恶意软件威胁增加了 60% 以上。与此同时，广告软件的涨幅，更是飙过了 200% 。

Malwarebytes 在新一季的《网络犯罪策略与技术报告》中指出，针对消费者的威胁数量在下降，基于恶意软件的加密和勒索软件的数量也在上一季显著减少，整体恶意软件的检出量也下降。

来源： cnBeta.COM
详情： http://t.cn/Ea3mPzY

FTC 将可能针对隐私丑闻对 Facebook 开出高达 50 亿美元罚单

据外媒报道，在过去一年多的时间里 Facebook 一直在处理公司与隐私相关的丑闻，而这给这家社交网络公司造成了严重的经济损失。当地时间周三，Facebook 公布了 2019 年第一季度业绩报告。报告中，这家公司披露，美国联邦贸易委员会（FTC）将可能会被处以数十亿美元的罚款。

来源： cnBeta.COM

详情： http://t.cn/Ea3mzSr

（信息来源于网络，安华金和搜集整理）

在深入调查后卡巴斯基表示，华硕并非是 影锤 （ ShadowHammer ） 攻击行动的唯一受害者，至少还有6家其他组织被攻击者渗透。除了华硕之外，卡巴斯基表示还有来自泰国的游戏发行商 Electronics Extreme、网页&IT 基础服务公司 Innovative Extremist、韩国游戏公司 Zepetto，另外还有来自韩国的一家视频游戏开发商、一家综合控股公司和一家制药公司。

影锤攻击行动在最初是在华硕的升级服务中发现的新型供应链攻击方式。华硕电脑一般都默认预装了华硕的 Live Update Utility 软件，用于更新华硕电脑专用的驱动、软件、BIOS 和补丁等，用户在使用该软件更新时可能会安装植入后门程序的软件更新包。黑客疑似入侵控制了华硕的更新服务，篡改使用合法证书签署的安装包，在官方给用户推送的升级软件包中加入了恶意代码。

来源：cnBeta.COM

更多资讯

GitHub 公开 Bilibili 寄来的 DMCA 删除通知

根据 GitHub 的透明政策，当一个代码库应版权所有者的要求移除，它会公开对方发来的 DMCA 删除通知。本周早些时候，匿名人士公布了Bilibili 网站后台工程源代码，Bilibili 迅速发出 DMCA 通知删除该代码库。现在，GitHub 公开了 Bilibili 寄来的 DMCA 删除通知。

这个通知引人注目之处在于它非常的不正式。Bilibili 是一个在美国上市的中国知名网站，但它的通知一点不像是一个正式的法律文件，它的开头是“Hello Dear Github:”，然后是“We Are:”，最后一句是“求求你们帮助我们吧，还加了三个感叹号（Please help us!!!）”，就像它的源代码一样，它的通知也在社交网络上引发了广泛热议。

来源： solidot.org

详情： http://t.cn/EajnbX6

腾讯安全提醒：暴风影音等数千款 APP 遭恶意 SDK 嵌入

4 月 24 日消息，公众号“腾讯安全联合实验室”称，近日，腾讯安全反诈骗实验室追踪到一款恶意 SDK 子包，该恶意子包已“潜伏”在掌通家园、暴风影音、天天看、塔读文学等数千款移动应用中，潜在可能影响上千万用户。

来源： 快科技

详情： http://t.cn/EajnfU3

这个黑客靠猜测私钥 成功窃取了 4.5 万个 ETH

4 月 23 日，分析机构 Independent Security Evaluators 发布的一份报告称，一名“区块链强盗”通过成功猜测安全性较弱的私钥，成功窃取了近 4.5 万个 ETH。

来源： 新浪财经综合

详情： http://t.cn/EajnJgS

日媒：日本企业至少 268 万份客户信息可能外泄

中新网 4 月 24 日电，据日本共同社 24 日统计报道，由于遭受网络攻击，2018 年日本企业发生外泄或可能外泄的个人信息至少达到268万份。据悉，日本酒店和大学的信息外泄情况严重。

来源： 中国新闻网

详情： http://t.cn/EajnS0N

（信息来源于网络，安华金和搜集整理）