Automatické aktualizácie

Modul 4: Softvér a aktualizácie · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete zapnúť a skontrolovať automatické bezpečnostné aktualizácie, budete vedieť, čo sa deje automaticky a čo nie, a budete vedieť, kedy je potrebný reštart.

Kľúčové pojmy: unattended-upgrades, 20auto-upgrades, 50unattended-upgrades, Origins-Pattern a Allowed-Origins, apt-daily-timers, needrestart, /var/run/reboot-required, Automatic-Reboot, aktualizácia jadra, dnf-automatic

Prečo automaticky?

Bezpečnostné chyby sa nájdu, opravia a potom aktívne zneužívajú, často v priebehu niekoľkých dní. Server, ktorý aktualizujete raz za mesiac, je teda v priemere celé týždne otvorený známym zraniteľnostiam. Holandské NCSC zaraďuje včasnú inštaláciu aktualizácií medzi základné princípy digitálnej odolnosti: „Včasná aktualizácia a záplatovanie softvéru pomáhajú rýchlo odstrániť zraniteľnosti.“

Ani „všetko automaticky“ však nie je dobré riešenie. Nová verzia programu sa môže správať inak ako stará a server, ktorý sa sám reštartuje uprostred dňa, môže zasiahnuť vašich návštevníkov. Bežná stredná cesta na Debiane a Ubuntu je:

• bezpečnostné aktualizácie automaticky, každý deň;
• ostatné aktualizácie a upgrady vydania ručne, v čase, ktorý si zvolíte, s predchádzajúcim snapshotom;
• reštarty naplánované, v pokojnom čase a pod kontrolou.

Program, ktorý to zariadi, sa volá unattended-upgrades.

Zapnutie unattended-upgrades

Na Ubuntu Server je unattended-upgrades nainštalovaný predvolene a automatické bezpečnostné aktualizácie sú zapnuté hneď po inštalácii. Na Debiane je tiež prítomný v mnohých inštaláciách a obrazoch, ale nie vždy. Skontrolujte a zapnite:

anna@web1:~$ sudo apt install unattended-upgrades
anna@web1:~$ sudo dpkg-reconfigure -plow unattended-upgrades

Druhý príkaz sa pýta „Automatically download and install stable updates?“. Zvoľte Yes. Tým sa zapíše súbor /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Hodnota 1 znamená: každý deň. Pomocou 0 to vypnete. Samotnú prácu spúšťajú dva časovače systemd (lekcia 6.3), ktoré si zobrazíte takto:

anna@web1:~$ systemctl list-timers 'apt*'
NEXT                        LEFT     LAST                        PASSED  UNIT                    ACTIVATES
Tue 2026-11-10 06:24:11 CET 9h left  Mon 2026-11-09 06:41:03 CET 14h ago apt-daily-upgrade.timer apt-daily-upgrade.service
Tue 2026-11-10 08:02:47 CET 11h left Mon 2026-11-09 19:12:30 CET 1h ago  apt-daily.timer         apt-daily.service

apt-daily sťahuje zoznamy (ako apt update), apt-daily-upgrade inštaluje aktualizácie. Časy majú náhodný rozptyl, aby všetky servery na svete nezaťažovali zdroje balíkov naraz.

Čo sa inštaluje automaticky?

To je uvedené v /etc/apt/apt.conf.d/50unattended-upgrades. Na Debiane sa blok volá Unattended-Upgrade::Origins-Pattern, na Ubuntu Unattended-Upgrade::Allowed-Origins. Predvolene sú tam zapnuté bezpečnostný zdroj a stabilný zdroj vášho vydania a zdroj -updates je vypnutý. Na Ubuntu to vyzerá takto:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}";
        "${distro_id}:${distro_codename}-security";
        "${distro_id}ESMApps:${distro_codename}-apps-security";
        "${distro_id}ESM:${distro_codename}-infra-security";
//      "${distro_id}:${distro_codename}-updates";
//      "${distro_id}:${distro_codename}-proposed";
//      "${distro_id}:${distro_codename}-backports";
};

Riadky, pred ktorými je //, sú vypnuté. Pri prvom serveri to nechajte tak. Súbor neupravujte priamo, pretože ho ďalšia verzia balíka môže chcieť nahradiť. Debian odporúča dať vlastné zmeny do vlastného súboru, napríklad /etc/apt/apt.conf.d/52unattended-upgrades-local; neskoršie súbory majú prednosť pred skoršími.

Balíky z dodatočných zdrojov (Docker, Caddy, PostgreSQL od výrobcu) sa predvolene neaktualizujú automaticky. Je to zámerná voľba: tie sledujete sami (lekcia 9.4), alebo zdroj ručne pridáte do zoznamu, ak výrobcovi dôverujete a poznáte dôsledky.

Niekoľko nastavení, ktoré budete často chcieť:

// /etc/apt/apt.conf.d/52unattended-upgrades-local
Unattended-Upgrade::Mail "root";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Automatic-Reboot "false";

Mail funguje len vtedy, ak server dokáže odosielať poštu (malý relay, lekcia 8.3). Ak to nejde, preskočte to a použite monitorovanie z lekcie 8.3.

Kontrola, či to funguje

Automatizácia, ktorá potichu prestane fungovať, je nebezpečnejšia ako žiadna automatizácia, pretože si myslíte, že ste v bezpečí. Preto skontrolujte tri veci.

1. Skúšobný beh. Ukáže, čo by sa stalo, bez toho, aby niečo zmenil:

anna@web1:~$ sudo unattended-upgrade --dry-run --debug
...
Allowed origins are: origin=Debian,codename=trixie,label=Debian, origin=Debian,codename=trixie-security,label=Debian-Security, ...
Packages that will be upgraded: libssl3t64 openssh-server

2. Log. Každý beh zapisuje do /var/log/unattended-upgrades/unattended-upgrades.log:

anna@web1:~$ sudo tail -n 5 /var/log/unattended-upgrades/unattended-upgrades.log
2026-11-09 06:41:15,201 INFO Packages that will be upgraded: openssh-server
2026-11-09 06:41:15,202 INFO Writing dpkg log to /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
2026-11-09 06:41:29,874 INFO All upgrades installed

3. Čo ešte čaká. apt list --upgradable (lekcia 4.1) by po jednej noci nemal zobrazovať žiadne balíky z -security. Ak tam zostávajú viac dní po sebe, niečo viazne: plný disk, zámok od ručne spusteného apt, ktorý sa zasekol, alebo balík, ktorý kladie otázku.

Reštart: služby a jadro

Aktualizovaný program na disku ešte nie je to isté ako aktualizovaný program v pamäti. Ak OpenSSH beží už tri týždne, beží starý kód, kým sa služba znova nespustí.

• Služby: program needrestart po aktualizácii zistí, ktoré služby ešte používajú staré knižnice. Na Ubuntu 24.04 a novších unattended-upgrades tieto služby predvolene reštartuje automaticky cez needrestart. Na Debiane je needrestart samostatný balík (apt install needrestart), ktorý sa vás interaktívne opýta, ktoré služby sa majú znova spustiť.
• Jadro: nové jadro začne fungovať až po reštarte celého servera. Debian a Ubuntu vtedy vytvoria súbor /var/run/reboot-required:

anna@web1:~$ cat /var/run/reboot-required
*** System restart required ***
anna@web1:~$ cat /var/run/reboot-required.pkgs
linux-image-6.12.57+deb13-amd64

Máte dve možnosti. Buď reštartujete sami, napríklad každý týždeň v pevnom čase po tom, čo skontrolujete, či súbor existuje. Alebo to necháte na unattended-upgrades:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";

Predvolená hodnota je false. Zapnite to len vtedy, ak ste si istí, že sa po reštarte všetko samo znova spustí: služby s enable (lekcia 6.1), kontajnery s politikou restart: (lekcia 9.3) a monitorovanie, ktoré vás upozorní, ak to tak nie je (lekcia 8.3). Najprv to raz otestujte ručne: sudo reboot, a pozrite sa, či sa všetko vráti.

Ubuntu cez Ubuntu Pro ponúka aj Livepatch, ktorý niektoré opravy jadra aplikuje bez reštartu. Je to doplnok, nie náhrada: aj s Livepatch občas reštartujete.

Čo nerobíte automaticky

• Upgrady vydania (z Debianu 12 na 13, z Ubuntu 24.04 na 26.04): vždy ručne, s plánom (lekcia 4.3).
• Veľké verzie vašich vlastných aplikácií (nová hlavná verzia databázy, CMS): vždy ručne, po zálohe a po prečítaní poznámok k vydaniu.
• Kontajnery: tie unattended-upgrades neaktualizuje. Obraz z roku 2024 zostane obrazom z roku 2024, kým nespustíte docker compose pull (lekcia 9.4).

Na AlmaLinux a Rocky Linux

Tam sa nástroj volá dnf-automatic. Nainštalujete ho príkazom dnf install dnf-automatic. V /etc/dnf/automatic.conf nastavíte upgrade_type = security a apply_updates = yes a časovač zapnete príkazom systemctl enable --now dnf-automatic.timer. Na systémoch podobných RHEL je reštart kvôli jadru rovnako potrebný ako na Debiane; dnf needs-restarting -r vám povie, či je to tak.

V praxi

Vo WebOké funguje VPS rovnako ako inde: to, čo sa aktualizuje vnútri servera, spravujete sami. Poskytovateľ aktualizuje hardvér a virtualizačnú platformu, nie váš operačný systém. Pred ručnou veľkou aktualizáciou si vytvorte snapshot v paneli svojho poskytovateľa; pri každodenných automatických bezpečnostných aktualizáciách to nie je potrebné.

Zhrnutie

• Automatické bezpečnostné aktualizácie zapnete pomocou unattended-upgrades (Ubuntu: predvolene zapnuté; Debian: skontrolovať pomocou dpkg-reconfigure -plow unattended-upgrades).
• Predvolene sa automaticky aktualizujú len bezpečnostný zdroj a stabilný zdroj vydania; dodatočné zdroje nie.
• Kontrolujte skúšobným behom, logom v /var/log/unattended-upgrades/ a príkazom apt list --upgradable.
• Služby sa musia po aktualizácii znova spustiť (needrestart), jadro vyžaduje reštart (/var/run/reboot-required).
• Upgrady vydania, veľké verzie aplikácií a kontajnery aktualizujete ručne.

Kvíz

Úloha

Úloha O4.2: Zapnutie a kontrola automatických aktualizácií. Na svojom serveri zapnite unattended-upgrades (alebo skontrolujte, že je zapnutý), spustite skúšobný beh a pozrite si log a časovače. Vyplňte kontrolný zoznam a odpovedzte: ktoré zdroje sa u vás aktualizujú automaticky, kedy prebehol posledný beh, čaká teraz reštart a ako budete reštartovať (sami v pevnom čase alebo automaticky, a prečo)?

Ďalšie čítanie

• Zabezpečenie vášho VPS: prvých päť minút
• Debian Wiki, automatické aktualizácie (UnattendedUpgrades): https://wiki.debian.org/PeriodicUpdates
• Holandské NCSC (zdroj v holandčine), základný princíp 3: Chráňte systémy, aplikácie a zariadenia: https://www.ncsc.nl/basisprincipes/basisprincipe-3-bescherm-systemen-applicaties-en-apparaten
• Dokumentácia Ubuntu Server, Automatic updates: https://ubuntu.com/server/docs/how-to/software/automatic-updates/
• VPS: od prvého prihlásenia po bezpečný server 3.3: Aktualizácie a automatické aktualizácie