Axel Bruns - UNIX bis Linux

Im Jahr 2000 wurde der Testing-Zweig gegründet. In der nachfolgenden Zeit wurde die Debian-Webseite in 20 Sprachen übersetzt. Es kam zur Gründung der Unterprojekte Debian-Junior und Debian-Med, die sich an Kinder bzw. medizinische Forschung und Praxis richteten. 2001 fand erstmals die Entwicklerkonferenz DebConf statt. An ihr nahmen 40 Entwickler teil.

Die Version 3.0 Woody vom 19. Juli 2002 enthielt erstmals das K Desktop Environment, nachdem die Lizenzproblematik von Qt geklärt war. Das Projekt war auf 900 Entwickler und 8500 Binärpakete angewachsen. Die offizielle Distribution bestand aus 7 CDs.

Erst knappe drei Jahre später, am 6. Juni 2005, kam es zur Veröffentlichung von Version 3.1 Sarge. Der lange Zeitraum brachte dem Projekt einige Kritik ein. Mit Ubuntu entstand zwischenzeitlich auch das heute bedeutendste Debian-Derivat. Sarge enthielt etwa 15.400 Pakete und benötigte damit 14 CDs.[ Es beteiligten sich etwa 1500 Entwickler an dieser Veröffentlichung. Neben der Masse an aktualisierten und neu hinzugekommenen Paketen ist vor allem das neu geschriebene Installationsprogramm hervorzuheben, das in 40 Sprachen übersetzt wurde. Erstmals wurde auch OpenOffice.org aufgenommen.

2006 wurde in Oaxtepec, Mexiko, die siebte DebConf abgehalten. Zudem wurde nach dem Namensstreit zwischen Debian und Mozilla seitens Debian das entsprechende Paket des Mozilla Firefox in Iceweasel, sowie das von Mozilla Thunderbird in Icedove umbenannt.

Am 8. April 2007 wurde von etwa 1000 Entwicklern Version 4.0 Etch veröffentlicht. Diese enthielt rund 18.200 Binärpakete. Im Februar 2009 folgte 5.0 Lenny, und im Februar 2011 wurde Lenny oldstable und 6.0 Squeeze mit über 29.000 Softwarepaketen als stable veröffentlicht.

Am 4. Mai 2013 wurde mit "Wheezy" die Version 7.0 als "stable" gesetzt.

Das Debian-Projekt konstituiert sich durch die Debian-Verfassung. Sie regelt die demokratische Organisationsstruktur mit regelmäßigen Wahlen. Darüber hinaus verpflichtet sich das Projekt mit dem Gesellschaftsvertrag Debian Social Contract zu freier Software.

Seit dem 26. April 2004 ist die Version 1.1 des Gesellschaftsvertrages gültig. Die eigentliche inhaltliche Änderung besagt, dass alle Komponenten des Debian-Systems (im Hauptzweig main) frei sein müssen, nicht mehr nur die Software. Die Debian-Richtlinien für freie Software beziehen sich also nicht mehr nur auf freie Software, sondern allgemein auf freie Werke. Da diese Auswirkungen einer als „editoriell“ bezeichneten Änderung für viele Entwickler überraschend war, wurde in einer zusätzlichen Abstimmung im Juli 2004 beschlossen, dass diese Änderung erst nach dem Release von Sarge im Juni 2005 wirksam wird.

Aktueller Leiter des Debian-Projekts ist Lucas Nussbaum. Er hat diesen Posten am 17. April 2013 von Stefano Zacchiroli übernommen. Der Posten wird einmal im Jahr per Wahl neu vergeben. Alle Wahlen und Abstimmungen erfolgen elektronisch (mit Hilfe einer digitalen Signatur) nach der Schulze-Methode.

Als eine Dachorganisation für Debian und weitere Freie-Software-Projekte wurde 1997 Software in the Public Interest gegründet.

Der Debian-Gesellschaftsvertrag (engl. Debian Social Contract) ist eine vom Debian-Projekt beschlossene öffentliche Richtlinie, die Grundlagen regelt, wie die freie Software Debian hergestellt, verteilt und betreut wird. Der Gesellschaftsvertrag geht auf einen Vorschlag von Ean Schuessler zurück. Bruce Perens entwarf eine erste Version des Dokumentes, das dann mit anderen Debian-Entwicklern im Juni 1997 verfeinert wurde, bevor es als öffentliche Richtlinie akzeptiert wurde. Version 1.0 wurde am 5. Juli 1997 ratifiziert. Am 26. April 2004 wurde die überarbeitete Version 1.1 ratifiziert. Sie ersetzt seitdem ihren Vorgänger.

Ein besonders bedeutender, auch über das Debian-Projekt hinaus genutzter Teil des Vertrages sind die Debian-Richtlinien für freie Software (DFSG). Die Gemeinschaft um die Etablierung des Begriffes Open Source in der Öffentlichkeit verwendete diese als Grundlage, um ihre Definition von Open Source zu verfassen. Bruce Perens verallgemeinerte die Richtlinien, indem er Debian aus dem Text strich, um The Open Source Definition (dt. Die Open Source Definition) zu schaffen. Sie wird seitdem von der Open Source Initiative (OSI) verwendet. Mit der Zeit haben sich hier allerdings einige Unterschiede ergeben.

Die im Vertrag festgehaltene Verpflichtung zur Bereitstellung von freier Software wird vom Debian-Projekt sehr ernst genommen. Zentrale Diskussionen im Linux-Umfeld werden maßgeblich vom Projekt bestimmt, wie die konsequent freie Dokumentation der Programme (Diskussion über die GFDL) oder die Vermeidung von Markennamen, weil ein Hersteller darüber das Projekt beeinflussen kann. Eine Auswirkung dieser Politik war der Namensstreit zwischen Debian und Mozilla, der zu einer Umbenennung der Anwendung Firefox in Iceweasel innerhalb von Debian führte.

Softwareprobleme werden öffentlich behandelt, so auch sämtliche Sicherheitsprobleme. Aspekte der Sicherheit werden öffentlich auf der debian-security-announce-Mailingliste diskutiert. Debians Sicherheitsgutachten werden über eine öffentliche Mailingliste gesendet (sowohl innerhalb als auch außerhalb) und auf einem öffentlichen Server bekanntgegeben. Von dieser Verfahrensweise verspricht man sich ein schnelleres Auffinden von Sicherheitslücken und damit die Möglichkeit, diese eher beheben zu können. Die entgegengesetzte Herangehensweise des Security through obscurity wird dagegen als unpraktikabel angesehen. Die Tatsache, dass die Weiterentwicklung der Distribution öffentlich sichtbar unter Beteiligung einer Vielzahl von Personen geschieht, erfordert besondere Sicherheitsmaßnahmen. Beispielsweise werden Änderungen an Paketen grundsätzlich mit einem verifizierbaren Schlüssel digital signiert. Beim Anwender wird dann vor der Installation die Gültigkeit der Signatur überprüft. Diese Maßnahme soll es Dritten erschweren, schädliche Software in Debian-Pakete einzuschleusen.

Die Paketbetreuer passen die Sicherheitsaspekte ihrer jeweiligen Software an die allgemeinen Grundsätze von Debian an. Daher sind Dienste nach der Installation oft „sicher“ voreingestellt, was von einem Benutzer als „Einschränkung“ empfunden werden kann. Dennoch versucht Debian, Sicherheitsaspekte und einfache Administration abzuwägen. Zum Beispiel werden Dienste wie ssh und ntp nicht inaktiv installiert, wie es bei den Distributionen der BSD-Familie üblich ist.

Wenn ein Sicherheitsproblem in einem Debian-Paket entdeckt wurde, wird es zusammen mit einer Einschätzung der dadurch entstehenden Gefahr direkt veröffentlicht. Parallel wird so schnell wie möglich ein Sicherheitsupdate dieses Pakets vorbereitet und auf speziellen Servern veröffentlicht. Kritische Sicherheitslücken werden auf diese Weise häufig innerhalb von Stunden geschlossen.

Die von Debian angepasste Implementierung des für die Schlüsselerstellung zuständigen Zufallsgenerators der OpenSSL-Bibliothek arbeitete von September 2006 bis 13. Mai 2008 mit einer erheblichen Sicherheitslücke. Die generierten geheimen Schlüssel konnten abgeschätzt und damit in kurzer Zeit (vor-)berechnet werden (1024- und 2048-Bit-Schlüssel in ungefähr zwei Stunden). Insbesondere OpenSSH und die sichere Kommunikation in Webbrowsern waren davon betroffen – GnuPG hingegen nicht.

Das Sicherheitsrisiko besteht weiterhin für alle RSA-Schlüssel, die in diesem Zeitraum auf betroffenen Systemen erstellt wurden und seit der Aktualisierung der Bibliothek nicht neu erstellt wurden. Auch alle DSA-Schlüssel, die jemals von einem Rechner (Client) mit fehlerhaftem Zufallszahlengenerator verwendet wurden, sind seitdem unsicher, selbst wenn diese ursprünglich auf einem Rechner mit korrekt arbeitendem Zufallszahlengenerator erstellt wurden.

Von Debian werden zu jedem Zeitpunkt drei Varianten (Releases) parallel angeboten: stable (‚stabil‘), testing (‚Erprobung‘) und unstable (‚instabil‘). Nach der Veröffentlichung jeder stable-Version wird die vorige stable-Version als oldstable (‚alt-stabil‘) für mindestens ein Jahr weitergeführt.