Skip to content

Codebyr OS 1.16.8 — une ISO que vous pouvez vérifier

Choose a tag to compare

View all tags
@Romtouf Romtouf released this 30 Sep 19:39
v1.16.8
a34a944

Une ISO que vous pouvez vérifier vous-même

Cette image est reproductible : reconstruite depuis le code de cette
version, sur n'importe quelle machine, elle est identique octet pour octet à
celle publiée ici. Vous n'avez plus à croire sur parole qu'elle sort du code
publié — vous pouvez le constater. Elle a été construite deux fois, sur le poste
du mainteneur et sur une machine GitHub neuve : même empreinte.

090372cfed7910acfd20e759a36484cbd809de80d20ba19dd329c5740deed5d7

Marche à suivre plus bas.

Pourquoi prendre cette ISO plutôt que la 1.16.1

Les machines déjà installées ont reçu ces correctifs par apt. L'ISO 1.16.1,
elle, les attendait jusqu'à sa première mise à jour — dont deux failles
qu'il vaut mieux ne jamais avoir, même quelques minutes :

  • Un compte de la machine pouvait devenir administrateur (corrigé en 1.16.2)
    en détournant le service qui prépare les comptes des Espaces.
  • Le lanceur de l'écran de bienvenue était modifiable par tous les comptes
    (corrigé en 1.16.7) : l'invité, sans mot de passe, pouvait y inscrire une
    commande exécutée à l'ouverture de votre session.

Et aussi, depuis la 1.16.1 :

  • Le bouclier anti-hameçonnage fonctionne : il était muet depuis la 1.6.0.
    Il reconnaît désormais aussi les adresses déguisées par des lettres d'autres
    alphabets.
  • Le Blindage n'autorise plus que ce qu'il connaît : tout appel système
    inconnu est refusé.
  • Le noyau démarre avec deux protections de plus (slab_nomerge,
    page_alloc.shuffle=1).
  • « Ajouter une application » fonctionne sous compte séparé, AppImage
    comprises : téléchargez le programme dans l'Espace, puis choisissez-le dans
    « Configuration Codebyr ».
  • Les images retrouvent leur aperçu dans Fichiers.

Le catalogue de « Logiciels » n'est plus pré-chargé dans l'image (il changeait
chaque jour, et l'image avec lui) : il se télécharge au premier lancement en
ligne.

Détails : journal des versions
et modèle de sécurité.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : tout ce qui précède est déjà arrivé, ou arrive,
par apt. Pour les deux protections du noyau, un redémarrage suffit.

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Reconstruire l'ISO et comparer

La signature prouve que l'ISO vient du mainteneur ; la reconstruction prouve
qu'elle sort du code publié.

  • Sans rien installer : copiez le dépôt sur GitHub (Fork), puis onglet
    Actions → « Construire l'ISO » → Run workflow : choisissez l'étiquette
    v1.16.8 et collez l'empreinte ci-dessus dans « SHA256 attendu ». La
    construction (20 à 30 minutes) échoue si l'image obtenue diffère.

  • Sur une machine Debian 13 :

    git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
git checkout v1.16.8
sudo apt install live-build rsync librsvg2-bin
sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
sha256sum dist/*.iso

Il faut un clone git, pas une archive : la date de l'image et l'état de Debian
utilisé (snapshot.debian.org, la veille du commit) se déduisent du commit.

Assets 6
Loading