Codebyr OS 1.21.0 — les mises à jour de Debian s'installent toutes seules

Debian updates — security included — now install by themselves: until this
version, only Codebyr's own tools did. Install from this ISO rather than an
older one. The dock is there from the first login.

Les mises à jour de Debian s'installent toutes seules

Jusqu'à la 1.20.0, seuls les outils Codebyr se mettaient à jour d'eux-mêmes.
Le reste du système — noyau, Firefox, bibliothèques —, sécurité comprise,
attendait qu'on accepte ses mises à jour dans l'application Logiciels. Codebyr
avait remplacé le nom de code de Debian par le sien, et la mise à jour
automatique ne reconnaissait plus l'archive Debian. Défaut présent depuis la
1.0, trouvé en faisant tourner la mise à jour automatique sur une machine
d'essai ; détail dans le modèle de sécurité.

Pourquoi prendre cette ISO plutôt que la 1.18.2

Une machine installée depuis la 1.18.2 se corrige à sa première mise à jour
automatique — mais la prochaine version, la 1.21.1, exigera le dock, un paquet
Debian, qu'une machine pas encore corrigée refuserait. Installez depuis
cette ISO. Elle apporte aussi, dès l'installation :

• un dock toujours visible en bas de l'écran, avec sous chaque application
  ouverte une pastille par fenêtre, à la couleur de son Espace ; les mêmes
  pastilles dans Alt+Tab, avec le nom de l'Espace sous chaque fenêtre ;
• Firefox sans contenu sponsorisé : ni raccourcis payés, ni articles
  sponsorisés ou recommandés, ni suggestions sponsorisées ;
• un démarrage sans couture (1.19.0) : du logo du fabricant à l'écran de
  connexion, plus de menu ni de texte technique ; le menu de démarrage s'ouvre
  en tapotant F4 ;
• les correctifs de l'analyse externe du code (1.19.1 à 1.21.0) : une
  notification ne peut plus se signer d'un autre Espace ; le compte invité ne
  modifie plus le réseau de la machine ; le bouclier anti-hameçonnage ne peut
  plus être neutralisé par la page qu'il dénonce ; un Espace ne joint plus le
  serveur X11 du bureau ; le Blindage ne laisse plus ouvrir que les connexions
  utiles ; le dépôt de Codebyr ne peut plus fournir que les outils Codebyr ;
• un pare-feu qui laisse de nouveau découvrir les imprimantes du réseau.

Détails : journal des versions.

Connu : le diaporama de l'installeur reste blanc pendant la copie. Sans
effet sur l'installation ; corrigé dans la prochaine ISO.

Si Codebyr OS est déjà installé

Vous n'avez rien à faire : la 1.21.0 est arrivée par la mise à jour
automatique, qui installe désormais aussi les mises à jour de Debian. Le dock
arrivera de la même façon avec la 1.21.1.

Une ISO que vous pouvez vérifier vous-même

Comme les 1.16.8 et 1.18.2, cette image est reproductible : reconstruite
depuis le code de cette version, sur n'importe quelle machine, elle est
identique octet pour octet à celle publiée ici. Elle a été construite deux
fois, sur le poste du mainteneur et sur une machine GitHub neuve : même
empreinte.

7971442a3f29b5eda6f9415fb0a7af0802046b45791c5ffc0b5ee9dbf286173f

Vérifier l'ISO avant de l'installer

gpg --import codebyr-signing-key.asc
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS

La signature est faite par la sous-clé 49DF7B8855830CCD347663345884F50B88581C19,
certifiée par la clé maîtresse E6FB6616EC58E15F40DA876CB1E8C803CE596E68 —
c'est cette dernière que vous comparez à l'empreinte publiée sur
os.codebyr.dev. gpg affiche la sous-clé : c'est normal.

Reconstruire l'ISO et comparer

La signature prouve que l'ISO vient du mainteneur ; la reconstruction prouve
qu'elle sort du code publié.

• Sans rien installer : copiez le dépôt sur GitHub (Fork), puis onglet
  Actions → « Construire l'ISO » → Run workflow : choisissez l'étiquette
  v1.21.0 et collez l'empreinte ci-dessus dans « SHA256 attendu ». La
  construction (20 à 30 minutes) échoue si l'image obtenue diffère.

• Sur une machine Debian 13 :

  git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
  git checkout v1.21.0
  sudo apt install live-build rsync librsvg2-bin python3
  sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
  sha256sum dist/*.iso
  

Il faut un clone git, pas une archive : la date de l'image et l'état de Debian
utilisé (snapshot.debian.org, la veille du commit) se déduisent du commit.