Transparence

D'où viennent les paquets de Cyclop OS

Deux sources alimentent votre ordinateur : l'archive Ubuntu pour le système de base, et notre propre dépôt pour ce que nous construisons. Voici quel serveur, qui signe quoi, et comment le vérifier vous-même dans un terminal.

Les paquets Ubuntu : un miroir universitaire, pas Canonical

Le système de base vient d'Ubuntu. Cyclop OS le télécharge depuis le miroir Ubuntu officiel de l'université RWTH Aachen, en Allemagne (ftp.halifax.rwth-aachen.de), un miroir de niveau 1 sur lequel Canonical pousse directement.

Nous le faisons pour que votre machine suive Ubuntu, mises à jour de sécurité comprises, sans demander de paquets aux serveurs de Canonical. Canonical ne voit ni votre adresse IP ni votre liste de paquets.

La signature d'Ubuntu protège toujours chaque paquet. Seule l'adresse change, pas la clé.

Le paquet cyclop-os-default-settings réécrit une seule fois les adresses par défaut d'Ubuntu, et garde une copie du fichier d'origine dans /var/lib/cyclop/apt-sources-backup/. Si vous préférez les serveurs d'origine, créez le fichier /etc/cyclop/keep-ubuntu-sources avant la mise à jour, ou remettez les adresses à la main : tout autre choix que vous avez fait est laissé tel quel.

Les paquets Cyclop : notre propre dépôt

Ce que nous construisons nous-mêmes vient de packages.cyclop-tech.com. Chaque dépôt est signé avec la clé de signature des paquets Cyclop OS, et votre machine refuse les paquets qui ne correspondent pas.

Empreinte de la clé de signature

1721 69A9 2BB4 6E2E 0970 C29A CA7F F388 5ECB 073B

RSA 4096, valable jusqu'au 21 septembre 2027. Clé publique : packages.cyclop-tech.com/cyclop-archive-key.gpg

Community est public, les éditions payantes ajoutent des dépôts

Le dépôt Community est ouvert : n'importe qui peut lire son index et télécharger, sans compte.

Chaque édition payante (Education, Pro, Gaming) débloque un dépôt de plus, lié à votre licence et à l'appareil. Sans licence valide, le serveur répond « non autorisé ». Toutes les éditions gardent aussi la base Community.

Le code source

Nous publions le code source des paquets que nous construisons, dans le même dépôt que les binaires, pour que vous puissiez les reconstruire. C'est ce que demandent les licences, et nous préférons que vous n'ayez pas à le demander.

Pour récupérer un paquet source, ajoutez une fois une ligne de sources, puis utilisez apt source. Exemple avec le paquet alacarte :

Récupérer un paquet source

sudo sh -c 'printf "Types: deb-src\nURIs: https://packages.cyclop-tech.com/noble/community\nSuites: noble\nComponents: main\nSigned-By: /usr/share/keyrings/cyclop-os-keyring.gpg\n" > /etc/apt/sources.list.d/cyclop-src.sources' && sudo apt update && apt source alacarte

Les paquets sources sont ceux du dépôt Community. Pour tout ce que vous ne trouvez pas, écrivez à opensource@cyclop-tech.com et nous envoyons le code source qui correspond à la version que vous avez reçue. La liste complète des composants et des licences est sur la page open source. Composants open source

Vérifiez par vous-même

Quatre commandes, sans nous croire sur parole.

De quel serveur vient vraiment un paquet

apt-cache policy bash

L'adresse Ubuntu utilisée

grep URIs /etc/apt/sources.list.d/ubuntu.sources

Le dépôt Cyclop et son fichier de clé

cat /etc/apt/sources.list.d/cyclop.sources

L'empreinte de la clé, à comparer avec celle ci-dessus

gpg --show-keys --with-fingerprint /usr/share/keyrings/cyclop-os-keyring.gpg

Sur une édition payante, /etc/apt/sources.list.d/cyclop-edition.sources liste le dépôt supplémentaire.

Une faille à signaler, ou une image d'installation à vérifier ? Sécurité et signalement de faille