Skip to content

Codebyr OS 1.11.0 — réseau cloisonné par Espace, filtre d'appels système

Choose a tag to compare

View all tags
@Romtouf Romtouf released this 12 Sep 10:21
· 186 commits to main since this release
v1.11.0
46ea3c8

⚠️ L'ISO de cette version a été retirée

Elle contenait un défaut découvert après sa publication : « Revenir à un
instantané » échouait toujours. La restauration refusait toute archive
contenant un lien, et tout dossier personnel en contient. On pouvait
sauvegarder un Espace, jamais le restaurer.

Installez la 1.11.2,
qui contient tout le lot de sécurité ci-dessous plus le correctif.

Si vous avez déjà installé la 1.11.0, vous n'avez rien à faire : la mise à
jour arrive toute seule par apt.

Un lot de sécurité important. Rien ne change dans les gestes du quotidien ;
ce qui change, c'est ce qu'un programme hostile peut atteindre.

Le réseau d'un Espace est enfin cloisonné pour de bon

La liste blanche de l'Espace Banque ne s'appliquait qu'au navigateur : tout
autre programme lancé dans cet Espace passait à côté. C'était un écart réel
entre la promesse et la réalité, documenté comme tel.

Chaque Espace restreint a désormais son propre réseau, sans aucune interface
vers l'extérieur, et ne joint rien d'autre que son filtre.

Le Blindage filtre les appels système

Un programme ne peut plus inspecter ni modifier la mémoire d'un autre, charger
un module noyau, ni emprunter les chemins habituels d'évasion — y compris
io_uring, qui permettait précisément de contourner ce genre de filtre.

Une application ne peut plus se faire passer pour un autre Espace

Elle annonçait elle-même sa « classe de fenêtre » : il suffisait de se déclarer
« Banque » pour en obtenir la couleur — sur un système dont toute la lecture
repose sur cette couleur. La filiation est maintenant vérifiée, et la fermeture
d'une application vérifie son identité, pas seulement son numéro de processus.

Plus d'ouverture d'Espace sans isolation

Sans bubblewrap, rien ne se lance, au lieu de continuer en mode réduit.

Fichiers, transferts et restauration

Ils ne suivent plus les liens et ne peuvent plus atteindre un fichier hors de
l'Espace. Une restauration conserve les anciennes données à côté, sous
avant-restauration-* — pensez à les supprimer quand vous n'en voulez plus,
elles occupent de la place et contiennent des données sensibles.

Ce qui peut CESSER de marcher

Autant le lire avant que le découvrir :

  • une application sans prise en charge de proxy perd son accès réseau dans
    un Espace restreint : il n'y a plus de repli vers un accès direct ;
  • les applications Flatpak sont refusées dans les Espaces blindés, jetables
    ou à réseau restreint — leurs permissions ne sont pas équivalentes à celles
    de Codebyr, et une installation dédiée ne doit pas porter une affirmation
    générale d'isolation.

Après une mise à jour, fermez et rouvrez vos Espaces : un Espace resté
ouvert tourne encore avec l'ancienne configuration.

Ce qui n'est PAS validé

Ce lot a été éprouvé sous Debian 13 en ligne de commande, avec 256 tests dont
le lancement complet d'un Espace Banque, un navigateur sans affichage, le refus
d'io_uring et la séparation entre comptes Unix. L'intégration continue le
vérifie désormais sur une machine distincte.

Il n'a pas été validé sur un bureau GNOME réel : navigateurs, visionneuses,
notifications, liserés et fermetures avec le nouveau réseau et le filtre
d'appels système restent à éprouver. Essayez d'abord dans une machine virtuelle
ou sur un poste secondaire.

Les Espaces tournent toujours sous un seul compte Unix. Un prototype de
séparation par compte existe et prouve le principe, mais il n'est pas livré.
Périmètre, limites et travail restant :
docs/securite-2026-09-12.md.

Vérifier l'image avant de l'écrire

codebyr-signing-key.asc est joint ci-dessous, à côté de l'image.

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

Ancre de confiance — la clé maîtresse, gardée hors ligne :

E6FB 6616 EC58 E15F 40DA  876C B1E8 C803 CE59 6E68

Ce que gpg affichera — la sous-clé qui signe les versions, certifiée par
l'ancre ci-dessus :

49DF 7B88 5583 0CCD 3476  6334 5884 F50B 8858 1C19

Voir cette empreinte-là plutôt que l'ancre n'est pas une anomalie : c'est le
fonctionnement normal d'une clé maîtresse gardée hors ligne. Ce qui compte est
que gpg écrive « Good signature ».

Si le fichier venait à manquer, la clé est aussi publiée sur deux hébergements
indépendants — et les comparer vaut mieux que d'en croire un seul :

curl -O https://raw.githubusercontent.com/Romtouf/codebyr-os/main/codebyr-signing-key.asc

et son empreinte est affichée sur https://os.codebyr.dev

Ce que Codebyr OS ne fait pas

Le cloisonnement repose sur les espaces de noms Linux, sur un noyau partagé :
une faille noyau permet de sortir d'un Espace. C'est un choix assumé — s'adapter
au matériel existant plutôt que l'exiger — et non une propriété de type Qubes.

Ce système n'a reçu aucun audit externe. Les limites connues sont dans
SECURITY.md.

Assets 5
Loading