Codebyr OS 1.21.0 — les mises à jour de Debian s'installent toutes seules

Debian updates — security included — now install by themselves: until this
version, only Codebyr's own tools did. Install from this ISO rather than an
older one. The dock is there from the first login.

Les mises à jour de Debian s'installent toutes seules

Jusqu'à la 1.20.0, seuls les outils Codebyr se mettaient à jour d'eux-mêmes.
Le reste du système — noyau, Firefox, bibliothèques —, sécurité comprise,
attendait qu'on accepte ses mises à jour dans l'application Logiciels. Codebyr
avait remplacé le nom de code de Debian par le sien, et la mise à jour
automatique ne reconnaissait plus l'archive Debian. Défaut présent depuis la
1.0, trouvé en faisant tourner la mise à jour automatique sur une machine
d'essai ; détail dans le modèle de sécurité.

Pourquoi prendre cette ISO plutôt que la 1.18.2

Une machine installée depuis la 1.18.2 se corrige à sa première mise à jour
automatique — mais la prochaine version, la 1.21.1, exigera le dock, un paquet
Debian, qu'une machine pas encore corrigée refuserait. Installez depuis
cette ISO. Elle apporte aussi, dès l'installation :

• un dock toujours visible en bas de l'écran, avec sous chaque application
  ouverte une pastille par fenêtre, à la couleur de son Espace ; les mêmes
  pastilles dans Alt+Tab, avec le nom de l'Espace sous chaque fenêtre ;
• Firefox sans contenu sponsorisé : ni raccourcis payés, ni articles
  sponsorisés ou recommandés, ni suggestions sponsorisées ;
• un démarrage sans couture (1.19.0) : du logo du fabricant à l'écran de
  connexion, plus de menu ni de texte technique ; le menu de démarrage s'ouvre
  en tapotant F4 ;
• les correctifs de l'analyse externe du code (1.19.1 à 1.21.0) : une
  notification ne peut plus se signer d'un autre Espace ; le compte invité ne
  modifie plus le réseau de la machine ; le bouclier anti-hameçonnage ne peut
  plus être neutralisé par la page qu'il dénonce ; un Espace ne joint plus le
  serveur X11 du bureau ; le Blindage ne laisse plus ouvrir que les connexions
  utiles ; le dépôt de Codebyr ne peut plus fournir que les outils Codebyr ;
• un pare-feu qui laisse de nouveau découvrir les imprimantes du réseau.

Détails : journal des versions.

Connu : le diaporama de l'installeur reste blanc pendant la copie. Sans
effet sur l'installation ; corrigé dans la prochaine ISO.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la 1.21.0 est arrivée par la mise à jour
automatique, qui installe désormais aussi les mises à jour de Debian. Le dock
arrivera de la même façon avec la 1.21.1.

Une ISO que vous pouvez vérifier vous-même

Comme les 1.16.8 et 1.18.2, cette image est reproductible : reconstruite
depuis le code de cette version, sur n'importe quelle machine, elle est
identique octet pour octet à celle publiée ici. Elle a été construite deux
fois, sur le poste du mainteneur et sur une machine GitHub neuve : même
empreinte.

7971442a3f29b5eda6f9415fb0a7af0802046b45791c5ffc0b5ee9dbf286173f

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Reconstruire l'ISO et comparer

La signature prouve que l'ISO vient du mainteneur ; la reconstruction prouve
qu'elle sort du code publié.

• Sans rien installer : copiez le dépôt sur GitHub (Fork), puis onglet
  Actions → « Construire l'ISO » → Run workflow : choisissez l'étiquette
  v1.21.0 et collez l'empreinte ci-dessus dans « SHA256 attendu ». La
  construction (20 à 30 minutes) échoue si l'image obtenue diffère.

• Sur une machine Debian 13 :

  git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
  git checkout v1.21.0
  sudo apt install live-build rsync librsvg2-bin python3
  sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
  sha256sum dist/*.iso
  

Il faut un clone git, pas une archive : la date de l'image et l'état de Debian
utilisé (snapshot.debian.org, la veille du commit) se déduisent du commit.

Codebyr OS 1.18.2 — Codebyr parle anglais

Codebyr OS parle anglais — Codebyr OS now speaks English

At the boot menu, choose « Live session (English) »: the live session, the
installer and the installed system are in English — the Seal menu, Codebyr
Settings, the Security Assistant, notifications, the Bank Space's blocking
page, the anti-phishing warning and the disk passphrase prompt. Any language
other than French falls back to English. Translations are welcome:
po/en.po is the template (see CONTRIBUTING.md).

Au menu de démarrage, la nouvelle entrée « Live session (English) » ouvre la
session d'essai en anglais. Installé en anglais, Codebyr y reste : menus,
fenêtres, notifications, page de blocage de l'Espace Banque, alerte du bouclier
anti-hameçonnage, et jusqu'à la phrase de passe du disque au démarrage. Le
français reste la langue de Codebyr ; toute autre langue reçoit l'anglais.

Une ISO que vous pouvez vérifier vous-même

Comme la 1.16.8, cette image est reproductible : reconstruite depuis le code
de cette version, sur n'importe quelle machine, elle est identique octet pour
octet à celle publiée ici. Elle a été construite deux fois, sur le poste du
mainteneur et sur une machine GitHub neuve : même empreinte.

07ae128a0a8a6581c5bf0c6709309a4d46df08661d322262c8fd6b5825ca081a

Pourquoi prendre cette ISO plutôt que la 1.16.8

Les machines déjà installées ont tout reçu par apt. L'ISO 1.16.8, elle,
l'attendait jusqu'à sa première mise à jour — dont une faille :

• Un compte de la machine pouvait devenir administrateur à la mise à jour
  suivante (corrigé en 1.17.2, présent depuis la 1.10.0), en détournant le
  remplissage de son dossier « Modèles ».

Et aussi :

• Codebyr dès le premier écran : l'avatar des comptes est le Sceau, et non
  plus la spirale de Debian ; le logo reste au centre pendant tout le
  démarrage ; la session s'ouvre sur le bureau ; l'installeur montre le nom en
  entier ; la vue d'ensemble ne pose plus d'icône par-dessus les fenêtres.
• Retirer « Compte séparé » à un Espace fait revenir ses fichiers, comme
  promis (1.17.1).
• Le cœur du système (codebyr-space) est découpé en modules testables, sans
  rien changer à l'usage (1.17.0 et 1.17.1).

Détails : journal des versions
et modèle de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : tout ce qui précède est déjà arrivé par apt,
sauf l'entrée « English » du menu et le diaporama de l'installeur, qui ne
servent qu'à l'installation. Pour passer en anglais : Paramètres → Système →
Région et langue → English, puis reconnexion.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Reconstruire l'ISO et comparer

La signature prouve que l'ISO vient du mainteneur ; la reconstruction prouve
qu'elle sort du code publié.

• Sans rien installer : copiez le dépôt sur GitHub (Fork), puis onglet
  Actions → « Construire l'ISO » → Run workflow : choisissez l'étiquette
  v1.18.2 et collez l'empreinte ci-dessus dans « SHA256 attendu ». La
  construction (20 à 30 minutes) échoue si l'image obtenue diffère.

• Sur une machine Debian 13 :

  git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
  git checkout v1.18.2
  sudo apt install live-build rsync librsvg2-bin python3
  sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
  sha256sum dist/*.iso
  

Il faut un clone git, pas une archive : la date de l'image et l'état de Debian
utilisé (snapshot.debian.org, la veille du commit) se déduisent du commit.

Codebyr OS 1.16.8 — une ISO que vous pouvez vérifier

Une ISO que vous pouvez vérifier vous-même

Cette image est reproductible : reconstruite depuis le code de cette
version, sur n'importe quelle machine, elle est identique octet pour octet à
celle publiée ici. Vous n'avez plus à croire sur parole qu'elle sort du code
publié — vous pouvez le constater. Elle a été construite deux fois, sur le poste
du mainteneur et sur une machine GitHub neuve : même empreinte.

090372cfed7910acfd20e759a36484cbd809de80d20ba19dd329c5740deed5d7

Marche à suivre plus bas.

Pourquoi prendre cette ISO plutôt que la 1.16.1

Les machines déjà installées ont reçu ces correctifs par apt. L'ISO 1.16.1,
elle, les attendait jusqu'à sa première mise à jour — dont deux failles
qu'il vaut mieux ne jamais avoir, même quelques minutes :

• Un compte de la machine pouvait devenir administrateur (corrigé en 1.16.2)
  en détournant le service qui prépare les comptes des Espaces.
• Le lanceur de l'écran de bienvenue était modifiable par tous les comptes
  (corrigé en 1.16.7) : l'invité, sans mot de passe, pouvait y inscrire une
  commande exécutée à l'ouverture de votre session.

Et aussi, depuis la 1.16.1 :

• Le bouclier anti-hameçonnage fonctionne : il était muet depuis la 1.6.0.
  Il reconnaît désormais aussi les adresses déguisées par des lettres d'autres
  alphabets.
• Le Blindage n'autorise plus que ce qu'il connaît : tout appel système
  inconnu est refusé.
• Le noyau démarre avec deux protections de plus (slab_nomerge,
  page_alloc.shuffle=1).
• « Ajouter une application » fonctionne sous compte séparé, AppImage
  comprises : téléchargez le programme dans l'Espace, puis choisissez-le dans
  « Configuration Codebyr ».
• Les images retrouvent leur aperçu dans Fichiers.

Le catalogue de « Logiciels » n'est plus pré-chargé dans l'image (il changeait
chaque jour, et l'image avec lui) : il se télécharge au premier lancement en
ligne.

Détails : journal des versions
et modèle de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : tout ce qui précède est déjà arrivé, ou arrive,
par apt. Pour les deux protections du noyau, un redémarrage suffit.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Reconstruire l'ISO et comparer

La signature prouve que l'ISO vient du mainteneur ; la reconstruction prouve
qu'elle sort du code publié.

• Sans rien installer : copiez le dépôt sur GitHub (Fork), puis onglet
  Actions → « Construire l'ISO » → Run workflow : choisissez l'étiquette
  v1.16.8 et collez l'empreinte ci-dessus dans « SHA256 attendu ». La
  construction (20 à 30 minutes) échoue si l'image obtenue diffère.

• Sur une machine Debian 13 :

  git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
  git checkout v1.16.8
  sudo apt install live-build rsync librsvg2-bin
  sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
  sha256sum dist/*.iso
  

Il faut un clone git, pas une archive : la date de l'image et l'état de Debian
utilisé (snapshot.debian.org, la veille du commit) se déduisent du commit.

Codebyr OS 1.16.1 — chaque Espace sous son propre compte

Chaque Espace a désormais son propre compte

Le réglage « Compte séparé, par Espace », livré en 1.15.0 et complété en 1.16.0,
devient celui de tous les Espaces — ceux qui sont livrés comme ceux que vous
créez. Les fichiers d'un Espace lui appartiennent : ce qui s'échapperait d'un
Espace ne retrouverait que lui, ni les autres, ni votre dossier personnel.

À la première ouverture de chaque Espace après la mise à jour, ses données
déménagent vers son compte. Rien n'est effacé, et elles reviennent si vous
désactivez le réglage pour cet Espace dans « Configuration Codebyr ».

L'invité n'a jamais de compte séparé : sa session s'efface à la
déconnexion, et ses Espaces doivent s'effacer avec elle.

Personnel et Travail sont blindés

Comme Banque, Navigation et Jetable : filtre d'appels système, aucun privilège,
session neuve, plafonds mémoire. Une application Flatpak y reste possible, sous
compte séparé — elle y a le bac à sable de Flatpak, pas le Blindage, et c'est dit
à son ouverture. Le Jetable n'a plus de micro : c'est là que s'ouvrent les
liens douteux.

Une application Flatpak qui sortirait de son Espace ne s'y ouvre plus

Dans un Espace sans compte séparé, une application Flatpak dont les permissions
la feraient sortir de l'Espace — parler au bus du bureau, y lancer des
programmes, voir tous vos fichiers — portait pourtant le liseré de l'Espace.
Elle est désormais refusée, avec l'explication et les façons de faire.

Plus d'erreur au démarrage, et l'espace d'échange fonctionne enfin

Sur un disque chiffré, deux messages « cryptsetup: ERROR » s'affichaient à
chaque démarrage, même après la bonne phrase de passe, et le démarrage attendait
90 secondes : l'espace d'échange ne s'ouvrait jamais. Il est désormais chiffré
avec une clé tirée au hasard à chaque démarrage. Les machines déjà installées
sont réparées par la mise à jour.

Verr. Maj fonctionne comme sous Windows

Verr. Maj agit comme Maj sur toutes les touches : Verr. Maj + & donne 1,

• ; donne .. Sur une machine déjà installée, la saisie de la phrase de passe
  du disque au démarrage ne change pas, pour qu'elle se tape toujours comme le
  jour où vous l'avez choisie.

Et aussi

• Votre système garde son nom : une mise à jour de Debian l'aurait rebaptisé
  « Debian GNU/Linux », et ses adresses d'aide menaient à un domaine qui
  n'existait pas. Elles mènent désormais au site et au dépôt du projet.
• Le terminal d'un Espace s'ouvre, dans le dossier de l'Espace.
• Un serveur de mises à jour injoignable ne bloque plus rien, ni l'installation
  ni apt.
• Le dépôt des mises à jour porte une date de péremption, et une version ne
  peut plus être publiée sans que ses tests soient au vert.

Ce que cela change pour vous

• Les applications Flatpak installées dans un Espace sont à réinstaller
  dans l'Espace ; la fenêtre de configuration le signale.
• « Ajouter une application » (un programme téléchargé, une AppImage) n'est pas
  encore possible sous compte séparé ; désactiver le réglage pour l'Espace
  concerné le permet.
• Une application Flatpak ne reçoit pas le fichier choisi dans « Ouvrir un
  fichier » (limite déjà décrite en 1.16.0).
• Le presse-papiers est vidé quand vous passez de Personnel ou Travail au
  bureau, comme pour tout Espace blindé.

Détails : journal des versions
et modèle de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la mise à jour arrive toute seule par apt.
Après son installation, déconnectez-vous et reconnectez-vous. La première
ouverture de chaque Espace prend quelques secondes de plus : ses données
déménagent vers son compte.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.16.0 — le compte séparé ne renonce plus à rien

Le compte séparé ne renonce plus à rien

La 1.15.0 avait apporté le changement le plus profond du projet : un Espace peut
tourner sous son propre compte système. Elle annonçait deux limites. Cette
version les lève toutes les deux.

Les applications Flatpak s'ouvrent dans un Espace à compte séparé

Chaque Espace a désormais son propre bus de session, et donc ses propres
« portails » — ces services par lesquels une application demande d'ouvrir un
fichier ou d'imprimer. Celui du bureau n'y entre toujours pas, et n'y entrera
pas : c'est lui qui donnait, en 1.1.0, un chemin hors du bac à sable.

Ce que vous verrez :

• installer une application dans un Espace se fait comme avant, depuis
  « Configuration Codebyr ». La différence est invisible et elle compte : c'est
  l'Espace qui télécharge, chez lui, sous son propre compte ;
• l'application s'ouvre avec le liseré de son Espace, et tourne sous le
  compte de celui-ci ;
• sa fenêtre « Ouvrir un fichier » ne montre que les fichiers de l'Espace —
  ni les vôtres, ni ceux des autres Espaces.

C'est aussi un gain d'isolation pour qui utilisait déjà des applications
Flatpak : jusqu'ici, elles parlaient au bus de session du bureau, et ce qu'elles
faisaient ouvrir par ce biais s'ouvrait sous votre compte.

La carte graphique aussi

Un Espace qui y a droit reçoit l'accès à la carte le temps qu'il est ouvert, et
le perd à sa fermeture — exactement comme votre session le reçoit à l'ouverture
et le perd à la déconnexion. L'affichage d'un Espace n'est donc plus dessiné par
le processeur. Banque et Jetable, qui n'ont pas accès à la carte par choix, n'y
touchent toujours pas.

Ce qui ne fonctionne pas, et pourquoi

Une application Flatpak ne reçoit pas le fichier choisi dans « Ouvrir un
fichier ». Ce passage se fait par un service qui monte un système de fichiers au
moyen d'un programme à privilèges, ce qu'un Espace interdit à tout ce qui tourne
en lui — la protection même qui empêche un programme échappé d'atteindre les
outils d'administration. Nous gardons la protection et disons la limite, plutôt
que de l'affaiblir pour une commodité.

Les applications installées dans un Espace avant l'activation du compte
séparé sont à réinstaller dans l'Espace : leur installation vit dans un dossier
de votre compte, auquel celui de l'Espace n'a pas accès. La fenêtre de
configuration le dit.

Un défaut corrigé, trouvé en éprouvant cette version

Un Espace vit dans sa propre unité système : il survivait donc à l'arrêt du
service des comptes — lors d'une mise à jour, par exemple. Le service perdait
alors sa trace, et l'Espace restait ouvert indéfiniment, avec l'accès à
l'affichage et à la carte graphique. Le service referme désormais tout Espace
que plus rien ne suit et qui n'a plus aucune fenêtre ouverte. Un Espace encore
utilisé n'est jamais refermé sous vos yeux.

Détails : journal des versions
et modèle de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la mise à jour arrive toute seule par apt.
Après son installation, déconnectez-vous et reconnectez-vous.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.15.0 — un compte par Espace

Chaque Espace peut avoir son propre compte

C'est le changement le plus profond depuis la première version. Il s'active
Espace par Espace, dans Configuration Codebyr → « Compte séparé, par
Espace ».

Jusqu'ici, tous vos Espaces tournaient sous votre compte. Le bac à sable les
séparait par ce qu'ils voient ; rien ne les séparait par ce qu'ils ont le
droit de toucher. Un programme qui s'échappait du bac à sable retrouvait vos
documents et ceux de tous les autres Espaces.

Avec un compte séparé, cette frontière devient une règle du système, que le
noyau vérifie à chaque ouverture de fichier : ce qui s'échappe de Jetable ne
peut plus lire Banque, ni votre dossier personnel.

Ce que vous verrez si vous l'activez

• À la première ouverture, les fichiers de l'Espace déménagent vers son
  compte. Rien n'est effacé ; si vous décochez la case, ils reviennent, avec ce
  que vous avez fait entre-temps.
• Tout le reste continue : envoyer un fichier à un Espace, en faire sortir
  un, examiner une pièce jointe, sauvegarder, restaurer, effacer. Les fichiers
  passent par des boîtes que l'Espace et vous êtes seuls à partager.
• L'Espace jetable garde sa promesse : son dossier vit en mémoire vive et
  disparaît à la fermeture, sans jamais toucher le disque.
• La mémoire est plafonnée pour l'Espace entier, et non plus fenêtre par
  fenêtre.

Le réglage est désactivé par défaut : rien ne change tant que vous ne
l'activez pas, et rien ne tourne en arrière-plan tant qu'aucun Espace ne le
demande.

Ce qui n'y fonctionne pas encore

Ces deux limites sont annoncées dans la fenêtre de configuration, et c'est
pourquoi ce réglage reste un choix plutôt qu'un réglage d'office :

• une application Flatpak installée dans un Espace ne s'y ouvre pas (elle a
  son propre bac à sable et ses propres données, que Codebyr ne déplace pas) ;
• l'accélération graphique n'est pas disponible : l'affichage s'y fait en
  rendu logiciel.

Aussi depuis la 1.13.0 : les notifications reviennent dans les Espaces

Une application qui prévient d'un téléchargement terminé ou d'une erreur
parlait dans le vide depuis la 1.1.0, où les Espaces avaient perdu l'accès au
service de notifications pour fermer une faille.

Elles s'affichent de nouveau, sous le nom de leur Espace — « Espace Jetable »,
« Espace Banque ». Une application ne peut pas choisir cet en-tête : une page
piégée ouverte en Jetable ne peut donc pas afficher une fausse alerte signée
« Banque ». Le bus de session de l'hôte, lui, n'entre toujours pas dans un
Espace.

Détails : journal des versions
et historique des correctifs de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la mise à jour arrive toute seule par apt.
Après son installation, déconnectez-vous et reconnectez-vous.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.13.0 — disque chiffré par défaut

Le disque est chiffré par défaut

La case « Chiffrer le système » est désormais cochée d'avance à
l'installation. Un ordinateur perdu ou volé ne livre plus vos Espaces, leurs
sauvegardes, ni la liste de vos sites bancaires. Vous choisissez une phrase de
passe pendant l'installation ; elle est demandée à chaque démarrage.

Vous pouvez encore décocher la case, mais le choix sûr est celui qu'on fait
sans rien toucher.

⚠️ Retenez bien cette phrase de passe. Sans elle, personne — pas même
Codebyr — ne peut rouvrir le disque.

Elle se tape avec votre clavier. Elle est demandée par l'écran de
démarrage, clavier français chargé, et non plus par le chargeur de démarrage,
qui lit tout en QWERTY : une phrase choisie sur un clavier AZERTY pouvait
ensuite ne plus ouvrir le disque.

Le démarrage sécurisé est vérifié

La chaîne complète — micrologiciel, chargeur de démarrage, noyau — a été
éprouvée sur une machine dont le démarrage sécurisé est activé, comme la
plupart des PC vendus aujourd'hui. Le noyau s'y verrouille alors de lui-même :
plus rien ne peut le modifier en marche, même en administrateur.

Corrections trouvées en éprouvant cette version

• L'écran de démarrage n'affichait pas la demande de phrase de passe : on
  voyait une machine figée, sans aucun moyen de deviner qu'il fallait taper
  quelque chose.
• Les fenêtres de Codebyr apparaissaient avec une icône générique dans le
  dock et la vue d'ensemble.
• Les machines virtuelles n'avaient ni presse-papiers partagé ni
  redimensionnement de l'écran — alors que c'est ainsi que l'on essaie un
  système avant de l'installer.

Détails : journal des versions
et historique des correctifs de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la mise à jour arrive toute seule par apt.
Après son installation, déconnectez-vous et reconnectez-vous.

Le chiffrement, lui, ne concerne que les nouvelles installations : un
disque déjà installé n'est pas modifié.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.12.0 — Navigation blindée, réseau local hors d'atteinte

Une relecture de sécurité a comparé ce que Codebyr promet à ce que le code
appliquait réellement. Cinq écarts en sont sortis ; les voici fermés, et
validés sur un bureau GNOME réel.

Navigation est désormais blindée

C'est l'Espace où l'on passe ses journées sur le web — donc le plus exposé —
et il ne l'était pas : ni filtre d'appels système, ni abandon des privilèges.
Il reçoit maintenant le même Blindage que Banque et Jetable.

Le Blindage plafonne aussi la mémoire et le nombre de tâches d'un Espace. Les
plafonds de Banque auraient fait fermer Firefox en plein usage ; Navigation a
donc les siens, à la mesure d'un navigateur. Vérifié avec dix onglets et une
vidéo : aucune fermeture, lecture fluide.

Le filtre réseau ne peut plus servir de passage vers votre réseau local

Il vérifiait le nom d'un site, pas l'adresse où ce nom mène. Un domaine
autorisé qu'on aurait fait pointer vers votre box, un NAS ou la machine
elle-même ouvrait à un Espace restreint ce que son cloisonnement doit lui
interdire. Ce passage est fermé, et une page explique le refus.

Et aussi

• Banque et Jetable n'ont plus d'accès direct à la carte graphique, l'une
  des plus larges portes d'entrée du noyau. L'affichage reste assuré.
• Plusieurs accès au noyau dont un usage ordinaire n'a jamais besoin sont
  fermés — dès la mise à jour, sans attendre un redémarrage.
• Le menu du Sceau vérifie ce qu'il lit dans la liste des Espaces avant de
  s'en servir.

Détails : journal des versions
et historique des correctifs de sécurité.

Ce que cela peut changer pour vous

Une application Flatpak ajoutée à l'Espace Navigation sera refusée, comme elle
l'est déjà dans Banque. Si vous aviez désactivé le Blindage de Navigation
vous-même, votre choix est conservé.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire. La mise à jour arrive toute seule par apt ;
elle est déjà disponible sur apt.codebyr.dev. Après son installation,
déconnectez-vous et reconnectez-vous : l'extension GNOME ne se recharge pas à
chaud.

L'ISO ci-dessous ne sert qu'à une nouvelle installation.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.11.2 — « Revenir à un instantané » fonctionne de nouveau

Ce que cette version corrige

« Revenir à un instantané » ne fonctionnait plus du tout. La restauration
refusait toute archive contenant un lien — et tout dossier personnel en
contient, ne serait-ce que par le profil du navigateur. On pouvait donc
sauvegarder un Espace, jamais le restaurer.

Les liens internes sont désormais acceptés. Ce qu'il fallait refuser n'était
pas le lien, mais le lien qui sort de l'Espace : un lien vers un chemin
absolu ou remontant par .. est toujours rejeté, comme les fichiers spéciaux.

Les notifications portent le nom de Codebyr. Elles s'affichaient sous
l'en-tête « notify-send », y compris lorsqu'elles annonçaient un refus de
sécurité.

Les deux vérifications disent maintenant où les lancer. Utilisées depuis un
Espace au lieu du bureau, elles donnaient des résultats faux —
verifier-isolation concluait « ne publiez pas cette version » alors que tout
allait bien.

Cette version contient aussi l'intégralité du lot de sécurité de 1.11.0
(cloisonnement réseau par Espace, filtre d'appels système sous Blindage,
identité de fenêtre vérifiée). Voir le
journal des versions.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire. La mise à jour arrive toute seule par apt ;
elle est déjà disponible sur apt.codebyr.dev. Après son installation,
déconnectez-vous et reconnectez-vous : l'extension GNOME ne se recharge pas à
chaud.

L'ISO ci-dessous ne sert qu'à une nouvelle installation.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Codebyr OS 1.11.0 — réseau cloisonné par Espace, filtre d'appels système

⚠️ L'ISO de cette version a été retirée

Elle contenait un défaut découvert après sa publication : « Revenir à un
instantané » échouait toujours. La restauration refusait toute archive
contenant un lien, et tout dossier personnel en contient. On pouvait
sauvegarder un Espace, jamais le restaurer.

Installez la 1.11.2,
qui contient tout le lot de sécurité ci-dessous plus le correctif.

Si vous avez déjà installé la 1.11.0, vous n'avez rien à faire : la mise à
jour arrive toute seule par apt.

---

Un lot de sécurité important. Rien ne change dans les gestes du quotidien ;
ce qui change, c'est ce qu'un programme hostile peut atteindre.

Le réseau d'un Espace est enfin cloisonné pour de bon

La liste blanche de l'Espace Banque ne s'appliquait qu'au navigateur : tout
autre programme lancé dans cet Espace passait à côté. C'était un écart réel
entre la promesse et la réalité, documenté comme tel.

Chaque Espace restreint a désormais son propre réseau, sans aucune interface
vers l'extérieur, et ne joint rien d'autre que son filtre.

Le Blindage filtre les appels système

Un programme ne peut plus inspecter ni modifier la mémoire d'un autre, charger
un module noyau, ni emprunter les chemins habituels d'évasion — y compris
io_uring, qui permettait précisément de contourner ce genre de filtre.

Une application ne peut plus se faire passer pour un autre Espace

Elle annonçait elle-même sa « classe de fenêtre » : il suffisait de se déclarer
« Banque » pour en obtenir la couleur — sur un système dont toute la lecture
repose sur cette couleur. La filiation est maintenant vérifiée, et la fermeture
d'une application vérifie son identité, pas seulement son numéro de processus.

Plus d'ouverture d'Espace sans isolation

Sans bubblewrap, rien ne se lance, au lieu de continuer en mode réduit.

Fichiers, transferts et restauration

Ils ne suivent plus les liens et ne peuvent plus atteindre un fichier hors de
l'Espace. Une restauration conserve les anciennes données à côté, sous
avant-restauration-* — pensez à les supprimer quand vous n'en voulez plus,
elles occupent de la place et contiennent des données sensibles.

---

Ce qui peut CESSER de marcher

Autant le lire avant que le découvrir :

• une application sans prise en charge de proxy perd son accès réseau dans
  un Espace restreint : il n'y a plus de repli vers un accès direct ;
• les applications Flatpak sont refusées dans les Espaces blindés, jetables
  ou à réseau restreint — leurs permissions ne sont pas équivalentes à celles
  de Codebyr, et une installation dédiée ne doit pas porter une affirmation
  générale d'isolation.

Après une mise à jour, fermez et rouvrez vos Espaces : un Espace resté
ouvert tourne encore avec l'ancienne configuration.

Ce qui n'est PAS validé

Ce lot a été éprouvé sous Debian 13 en ligne de commande, avec 256 tests dont
le lancement complet d'un Espace Banque, un navigateur sans affichage, le refus
d'io_uring et la séparation entre comptes Unix. L'intégration continue le
vérifie désormais sur une machine distincte.

Il n'a pas été validé sur un bureau GNOME réel : navigateurs, visionneuses,
notifications, liserés et fermetures avec le nouveau réseau et le filtre
d'appels système restent à éprouver. Essayez d'abord dans une machine virtuelle
ou sur un poste secondaire.

Les Espaces tournent toujours sous un seul compte Unix. Un prototype de
séparation par compte existe et prouve le principe, mais il n'est pas livré.
Périmètre, limites et travail restant :
docs/securite-2026-09-12.md.

---

Vérifier l'image avant de l'écrire

codebyr-signing-key.asc est joint ci-dessous, à côté de l'image.

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

Ancre de confiance — la clé maîtresse, gardée hors ligne :

E6FB 6616 EC58 E15F 40DA  876C B1E8 C803 CE59 6E68

Ce que gpg affichera — la sous-clé qui signe les versions, certifiée par
l'ancre ci-dessus :

49DF 7B88 5583 0CCD 3476  6334 5884 F50B 8858 1C19

Voir cette empreinte-là plutôt que l'ancre n'est pas une anomalie : c'est le
fonctionnement normal d'une clé maîtresse gardée hors ligne. Ce qui compte est
que gpg écrive « Good signature ».

Si le fichier venait à manquer, la clé est aussi publiée sur deux hébergements
indépendants — et les comparer vaut mieux que d'en croire un seul :

curl -O https://raw.githubusercontent.com/Romtouf/codebyr-os/main/codebyr-signing-key.asc

et son empreinte est affichée sur https://os.codebyr.dev

Ce que Codebyr OS ne fait pas

Le cloisonnement repose sur les espaces de noms Linux, sur un noyau partagé :
une faille noyau permet de sortir d'un Espace. C'est un choix assumé — s'adapter
au matériel existant plutôt que l'exiger — et non une propriété de type Qubes.

Ce système n'a reçu aucun audit externe. Les limites connues sont dans
SECURITY.md.