Installierte Kernel unter Debian und Ubuntu verwalten: Aufräumen, Platz in /boot, HWE und Livepatch

Worum es geht

Jedes Kernel-Sicherheitsupdate unter Debian oder Ubuntu installiert ein neues linux-image-*-Paket neben dem laufenden, statt es zu ersetzen. So lässt sich das System weiterhin mit dem alten Kernel starten, falls der neue fehlschlägt. apt list --installed | grep linux-image zeigt, wie viele Kernel vorhanden sind; dpkg -l 'linux-image-*' liefert Details zu den Versionen. Belegter Speicherplatz und ein unübersichtliches Boot-Menü nehmen in /boot zu, bis die alten Kernel entfernt werden.

Warum es wichtig ist

/boot ist oft eine kleine, separate Partition und kann nach mehreren Kernel-Updates vollständig volllaufen. Dann ist jede weitere Kernel-Installation blockiert, auch eine Sicherheitskorrektur, bis wieder Platz frei ist. Unter Ubuntu hängt es zudem von der Wahl zwischen GA- und HWE-Kernel sowie davon, ob Livepatch aktiviert ist, ab, wie störend das Einspielen einer Kernel-Sicherheitskorrektur ist.

So wird es angewendet

• apt-get autoremove regelmässig ausführen oder von unattended-upgrades erledigen lassen (Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";). Die Handbuchseite von apt-get beschreibt autoremove als Entfernen von "packages that were automatically installed to satisfy dependencies for other packages and are now no longer needed" (Pakete, die automatisch als Abhängigkeiten anderer Pakete installiert wurden und nicht mehr benötigt werden). Kernel-Pakete werden dabei gesondert behandelt: /etc/apt/apt.conf.d/01autoremove-kernels schützt den laufenden und die neuesten Kernel; ältere Kernel werden entfernbar.
• Den aktuell laufenden Kernel niemals entfernen; zuvor uname -r prüfen und sicherstellen, dass autoremove ihn nicht erfasst. Das Paket des laufenden Kernels entfernt autoremove standardmässig nicht, ein manuelles apt-get remove mit dem falschen Paketnamen dagegen schon.
• Soll eine bestimmte Kernel-Version bewusst installiert bleiben (z. B. während einer Treibervalidierung), wird sie festgehalten: apt-mark hold linux-image-<version>. Das ist derselbe Hold-Mechanismus, den apt-mark für jedes Paket dokumentiert.
• Ubuntu-spezifisch: LTS-Releases erhalten einen Hardware-Enablement-Kernelstack (HWE), den Canonical beschreibt als "newer kernel and X11 display support for existing Ubuntu LTS releases". Server-Installationen verwenden standardmässig den GA-Kernel; HWE ist als optionales Metapaket verfügbar (linux-generic-hwe-<release>). Debian kennt keinen vergleichbaren Mechanismus mit fortlaufend aktualisiertem Kernel.
• Ubuntu-spezifisch: Canonicals Livepatch-Dienst wendet ausgewählte Kernel-Sicherheitspatches im Arbeitsspeicher an und vermeidet so den Neustart, den ein herkömmliches Kernel-Update erfordert. Canonical positioniert ihn als Alternative für Workloads, bei denen "the updated system needs to be rebooted, potentially disrupting" Dienste; der Dienst spielt Patches stattdessen "between scheduled maintenance windows" ein. Livepatch ist Teil von Ubuntu Pro (Aktivierung mit pro enable livepatch, für eine kleine Zahl privater Rechner kostenlos) und erfordert weiterhin regelmässige Neustarts für Patches, die sich nicht im laufenden Betrieb anwenden lassen.

Stolpersteine

• Wird der Platz in /boot knapp, blockiert dies unbemerkt das nächste Kernel-Sicherheitsupdate; der freie Speicherplatz ist deshalb auch dort zu überwachen, nicht nur auf /.
• Das Festhalten einer Kernel-Version blockiert auch deren Sicherheitsupdates. Holds sind explizit nachzuverfolgen und regelmässig zu überprüfen, wie bei jedem anderen apt-mark hold.
• Wird HWE mitten im Support-Zyklus aktiviert, ändert sich der Kernel-Zweig, aus dem künftige Updates stammen. Vor dem Umstellen eines Produktivsystems apt-cache policy linux-image-generic-hwe-<release> prüfen.