19 октября 2026 года вышел APT 3.3.4 — обновление пакетного менеджера Debian с поддержкой SHA3-256 и SHA3-512 и более строгой проверкой контрольных сумм. Теперь APT отклоняет загрузки, для которых невозможно вычислить требуемый хеш, что помогает предотвратить использование файлов без полноценной проверки целостности.
APT отвечает за установку, обновление и удаление программ в Debian и основанных на нём дистрибутивах Linux. Когда пользователь устанавливает приложение через apt install или обновляет систему, пакетный менеджер получает сведения из репозиториев, скачивает необходимые файлы и проверяет их.
В версии 3.3.4 разработчики сосредоточились на обработке контрольных сумм и диагностике ошибок. Одновременно они улучшили справку командной строки и автодополнение в Bash. Релиз опубликован в ветке Debian unstable, где новые компоненты проходят проверку перед дальнейшим распространением.
APT 3.3.4 отклоняет загрузки при невозможности проверить контрольную сумму
Одно из ключевых изменений связано с ситуацией, когда APT знает ожидаемую контрольную сумму файла, но по какой-либо причине не может вычислить её самостоятельно.
Контрольная сумма, или хеш, — это значение, рассчитанное на основе содержимого файла. Даже небольшое изменение данных обычно приводит к другому результату. Сравнивая вычисленное значение с ожидаемым, пакетный менеджер определяет, сохранился ли файл в том виде, в котором он был опубликован.
Раньше в отдельных ситуациях ошибка вычисления хеша могла привести к продолжению загрузки без требуемой проверки. В APT 3.3.4 такое поведение изменили: если необходимый хеш вычислить невозможно, загрузка отклоняется.
Представим сервер, который автоматически скачивает обновления из репозитория. Если механизм вычисления контрольной суммы сталкивается с ошибкой, новая проверка прерывает соответствующую операцию. Файл с неподтверждённой целостностью не проходит обычный путь обработки.
Разработчики исправили и передачу ошибок OpenSSL — криптографической библиотеки, которую APT использует в том числе для вычисления хешей. Теперь сбои, возникающие при хешировании, корректно передаются механизму обработки ошибок APT.
Это полезно при диагностике проблем с криптографическими алгоритмами и доступностью необходимых функций OpenSSL: система получает информацию об ошибке вычисления, а не продолжает работу с недостоверным результатом.
Поддержка SHA3-256 и SHA3-512 расширяет возможности проверки файлов
APT 3.3.4 получил поддержку двух алгоритмов семейства SHA-3:
- SHA3-256 — формирует контрольную сумму длиной 256 бит.
- SHA3-512 — формирует контрольную сумму длиной 512 бит.
Оба алгоритма позволяют обнаруживать изменения содержимого файлов и метаданных. SHA-3 представляет отдельное семейство криптографических хеш-функций, отличающееся по внутреннему устройству от SHA-2, к которому относятся широко используемые SHA-256 и SHA-512.
В APT новые алгоритмы добавили в библиотеку обработки хешей. Это расширяет набор криптографических механизмов, с которыми способен работать пакетный менеджер.
При этом генерация контрольных сумм SHA3 по умолчанию остаётся отключённой. Сам факт появления поддержки в APT 3.3.4 не меняет автоматически алгоритмы, используемые существующими репозиториями.
Как контрольные суммы связаны с подписями репозиториев
В Debian проверка файлов строится как цепочка. Контрольные суммы пакетов записываются в индекс Packages, контрольные суммы индексных файлов — в Release. Сам файл Release подписывается ключом репозитория, и APT проверяет эту подпись.
Поэтому хеширование и проверка цифровой подписи выполняют разные задачи. Хеш помогает обнаружить изменение содержимого, а подпись позволяет проверить происхождение метаданных репозитория. Новые алгоритмы SHA3 расширяют возможности хеширования в APT, при этом порядок проверки доверия к репозиториям остаётся отдельным механизмом.
Исправление индекса Sources затрагивает работу без MD5
В новой версии устранили ошибку формирования контрольных сумм для индексов Sources, которая проявлялась при отключённом MD5. Такой индекс содержит сведения об исходных пакетах — в отличие от Packages, где описаны готовые бинарные пакеты.
Изменение касается конфигураций, в которых генерация MD5 отключена. Ранее при этом условии контрольные суммы для Sources могли оказаться некорректными; в APT 3.3.4 соответствующую обработку исправили.
Внутреннюю работу с хешами также упростили: поддерживаемые алгоритмы теперь определяются централизованно, а из кеша возвращаются только запрошенные контрольные суммы. Это делает обработку результатов более определённой, особенно когда одновременно используются разные алгоритмы.
Справка APT и автодополнение Bash получили общую основу
APT 3.3.3, выпущенный в августе, начал переход к интерактивной справке командной строки. В версии 3.3.4 разработчики распространили новый формат на оставшиеся команды и сгруппировали параметры по назначению. Теперь при просмотре справки проще находить подходящие опции.
Ещё одно изменение затрагивает Bash — командную оболочку, в которой пользователь может нажать Tab для автодополнения названия команды или параметра. Раньше определения автодополнения приходилось сопровождать отдельно. Теперь APT генерирует их из собственного декларативного описания командной строки.
Такая схема уменьшает количество независимых описаний одного и того же набора команд. Когда разработчики меняют параметры APT, механизм автодополнения может использовать тот же источник данных, что и обработчик команд.
В релиз вошли обновления португальского перевода руководств и ирландского перевода интерфейса. В репозитории также появился файл SECURITY.md с информацией о сообщении разработчикам о проблемах безопасности.
APT 3.3.4 пока доступен в Debian unstable
По состоянию на 20 октября 2026 года пакет APT 3.3.4 опубликован в Debian sid (unstable). В Debian testing (forky) указан APT 3.3.3, а в стабильном Debian 13 (trixie) — APT 3.0.3.
Разница в версиях связана с тем, что Debian распространяет изменения по нескольким веткам. Новые функции сначала попадают в unstable, затем могут перейти в testing. Для стабильных выпусков действует отдельная политика обновлений.
APT 3.3.4 меняет поведение при сбоях вычисления хеша, расширяет библиотеку криптографических алгоритмов и завершает часть переработки командной строки, начатой в 3.3.3. Когда именно эти изменения окажутся в других ветках Debian и производных дистрибутивах, опубликованный changelog не уточняет.
