<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Wed, May 24, 2017 at 11:54 AM, Rhonda D'Vine <span dir="ltr"><<a href="mailto:rhonda@deb.at" target="_blank">rhonda@deb.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Jan Ingvoldstad <<a href="mailto:frettled@gmail.com">frettled@gmail.com</a>> [2017-05-24 11:37:49 CEST]:<br>
<span class="gmail-">> Basically: if you need security updates, don't rely on backports, don't put<br>
> things in backports. The backport policy is incompatible with keeping<br>
> systems up-to-date and secure.<br>
<br>
</span> That's a highly unfair statement.  The backport policy is the reason<br>
that maintainers are unwilling to update their backports?  Come on,<br>
that's a very very low blow and not a constructive comment.</blockquote></div><br>Well, let's look at what the Debian Security FAQ says:</div><div class="gmail_extra"><br></div><div class="gmail_extra">"<em>Q: How is security handled for <tt>unstable</tt>?</em></div>
<div class="gmail_extra">A: Security for unstable is primarily handled by package maintainers, not
   by the Debian Security Team. Although the security team may upload
   high-urgency security-only fixes when maintainers are noticed to be
   inactive, support for stable will always have priority.
   If you want to have a secure (and stable) server you are strongly encouraged
   to stay with stable.</div><div class="gmail_extra"><em><br></em></div><div class="gmail_extra"><em>Q: How is security handled for <tt>testing</tt>?</em>
<p>A: Security for testing benefits from the security efforts of the entire
   project for unstable. However, there is a minimum two-day migration delay,
   and sometimes security fixes can be held up by transitions. The Security
   Team helps to move along those transitions holding back important
   security uploads, but this is not always possible and delays may occur.
   Especially in the months after a new stable release, when many new versions
   are uploaded to unstable, security fixes for testing may lag behind.
   If you want to have a secure (and stable) server you are strongly
   encouraged to stay with stable."</p><div>So, as a general principle, security updates are delayed, sometimes by two days, sometimes more.</div><div><br></div><div>Then we have similar issues as the ones raised by Raphael, where the life of the package maintainer is made difficult.</div><div><div><br class="gmail-Apple-interchange-newline">As a Debian user, I have learned not to use backports for anything important because, let's face it, I'm *toast* if I do so.</div></div><div><br></div><div>I have griped about the backports security policy years ago, and others have, too, but you and Alexander shoot any constructive criticism down with frankly very off-putting, negative, unconstructive responses.</div><div><br></div><div>This is why users tend to go to dotdeb and other external package repositories for updated packages. We do it for PHP, we do it for Puppet, we do it for MariaDB, MySQL, etc. The backports policy and/or the way backports are practically handled are in the way.</div><div><br></div><div>Until this changes, it's security 101 to stay away from backports, sorry.</div>-- <br><div class="gmail_signature">Jan</div><div class="gmail_signature"><br></div>
</div></div>