Remartgas davart la versiun 0.9.4 Beta

Data da publicaziun: 12 da settember 2026
Versiun precedenta: 0.9.3 Beta (21 da matg 2026)

Spazis da num da l’utilisader senza privilegis: restrenschids, betg deactivads

Arch ha allontanà bubblewrap-suid il settember 2026. Ditana sa basava sin quest pachet per mantegnair ils sandbox en funcziun, durant ch’ils spazis da num da l’utilisader senza privilegis restavan deactivads; perquai ha l’allontanament dal pachet donnegià omaduas mesadads da quest arranschament a medem temp – e perquai che l’installatur telechargia sia configuraziun durant l’execuziun, ha quai er donnegià las installaziuns cun il medium da la versiun 0.9.3 ch’era gia publitgà, betg mo las installaziuns novas.

I na deva nagin remplazzament, al qual ins avess pudì midar. Il project d’origin ha allontanà il sustegn da setuid en bubblewrap 0.12.0, in di suenter che 0.11.2 aveva curregì CVE-2026-41163, in’escalaziun da privilegis ch’existiva mo en quest modus, ed il rom 0.11.x ch’era vegnì mess a disposiziun per tgi che duvrava anc el, n’è mai vegnì surpiglià da nagin.

Perquai è l’arranschament uss invertì. Empè da deactivar ils spazis da num da l’utilisader per tut ils programs e da far in’excepziun per ina datoteca binara, permetta Ditana ils spazis da num per program exequibel. In program BPF collià cun il hook userns_create dal kernel refusa in spazi da num a tut quai che n’è betg vegnì declerà, e la decleraziun sa chatta en la configuraziun sper il pachet che dovra il spazi da num:

- name="flatpak" default-value=#true {
    arch-packages "flatpak"
    userns-allow "/usr/bin/bwrap"
  }

In punct essenzial, perquai ch’el decida tge che capita en cas d’errurs: in hook da quest tip po mo refusar, mai permetter. Il sysctl che deactivava fin qua ils spazis da num da l’utilisader sto vegnir augmentà, per ch’il guardian haja insumma insatge da far, ed el vegn augmentà mo dal servetsch che ha gia chargià e collià il program. Ina maschina che na po betg chargiar il program tegna ils spazis da num da l’utilisader deactivads dal tuttafatg. Cun l’errur perdais Vus Voss sandbox, ma mai Vossa protecziun.

Il guardian è in pachet separà, ditana-userns-guard, che vegn installà ensemen cun l’opziun System Hardening che sa numnava pli baud «Disable unprivileged user namespaces».

LibreWolf deriva uss dad Arch

LibreWolf deriva uss dals repositoris dad Arch e betg pli da Flathub, tenor l’urden da preferenzas che metta in pachet nativ a l’emprim lieu. Brave resta disponibel via l’AUR; la motivaziun è explitgada detagliadamain sin la pagina AUR u Flatpak.

Mintga valur sysctl vegn declerada sco datas

Mintga valur sysctl che l’installatur scriva vegn uss declerada sco datas empè da vegnir cumponida sco text da shell. Dus parameters che scrivan la medema clav cun valurs differentas ferman l’installaziun e vegnan numnads omadus. Pli baud vegnivan scrittas omaduas lingias, e l’ultima prevaleva tacitamain.

Installaziun senza surveglianza

In’installaziun po uss vegnir exequida senza ch’insatgi saja davant la tastatura. Ina datoteca da respostas furnescha ordavant quai che l’installatur dumandass normalmain, ed ella sa chatta sin in pitschen disc da configuraziun che l’installatur chatta sez – il medem arranschament ch’in purschider da hosting utilisass per installar Ditana via PXE. Nagliur na vegnan simuladas tastas: il mecanissem consista en il fatg che l’installatur legia sias respostas empè da dumandar quellas, e perquai funcziuna el per in purschider e betg mo per in test.

Il pled-clav da l’account vegn prendì da la datoteca da respostas sco hash, mai sco text betg criptà. Ina datoteca d’exempel è disponibla en il repositori da l’installatur, ed il mecanissem è documentà là cumplettamain.

Ina resposta che na po betg avair effect ferma l’installaziun empè da vegnir ignorada tacitamain: in parameter che questa maschina na porscha betg ed in parameter ch’in’expressiun da standard remplazzass puspè vegnan omadus refusads cun lur num, ensemen cun la cundiziun che renda quels impussibels. E perquai che nagin na guarda il visur, scriva in’execuziun ch’è sa fermada la raschun sin l’emprim port serial, mintga lingia cun la marcaziun DITANA-AUTOINSTALL-ABORT:, uschia ch’in sistem da provisioning che legia la consola vegn a savair la raschun durant che la maschina è anc en funcziun, empè da spetgar la fin d’in silenzi. Sche la consola sa chatta en in auter lieu, vegn ella numnada en la lingia da cumond dal kernel.

Quai è er quai che Ditana utilisescha per sasez. Mintga notg installescha il host da build il repositori ch’el ha gist construì en ina maschina virtuala, senza surveglianza, ed ils pachets vegnan publitgads mo sch’il sistem installà vegn avià e respunda sez.

Guardai docs/unattended-installation.md.

ZFS sin il medium d’installaziun

Il medium live aviava in kernel senza il modul ZFS, uschia ch’in’installaziun ZFS n’è betg reussida sin hardware, nua ch’ella aveva funcziunà pli baud. Ils pachets ZFS vegnan uss furnids via pacstrap e l’initramfs vegn reconstruì suenter, e zfsbootmenu vegn agiuntà dal hook responsabel per quai empè da vegnir agiuntà sur ina segunda via che pudess entrar en conflict cun quel. Il percurs d’aviar da reserva per UEFI era fauss ed è vegnì curregì.

Stampar

Il sustegn per stampaders è cumplet. mDNS è avert en firewalld ed avahi-daemon è activà, uschia ch’in stampader da rait vegn chattà automaticamain empè da stuair vegnir endatà a maun.

Hardware

Sin tschertas maschinas lascha la firmware il processur en ses stadi da repaus il pli lev suenter ina suspensiun, quai che custa energia uschè ditg che la maschina resta en funcziun. Ditana identifitgescha uss quai ed evitescha il problem.

Ina nova opziun collia las respostas ARP cun l’interfatscha che ha retschavì la dumonda. Sin ina maschina cun pli ch’in’interfatscha en la medema rait sectoriala respunda il kernel uschiglio da tge interfatscha ch’el vul, quai che confunda switches e tschertas configuraziuns da repartiziun da la chargia.

L’identificaziun da la grafica examinescha uss sche la GPU funcziuna sut Wayland, empè d’examinar sch’ella accelerescha insatge, quai ch’è la dumonda, da la quala las tschernas dal desktop dependan effectivamain.

Memoria

Extended ZRAM Overcommit augmenta la grondezza virtuala dal swap cumprimì en la RAM da 100 % a 175 % da la RAM fisica ed il sforz da zstd dal nivel 3 al nivel 6, uschia ch’ina maschina tegna var 1,75 giadas sia RAM en furma cumprimida, avant ch’ella tutga la partiziun swap sin il disc. La latenza da page-in resta la medema, perquai che zstd ha la medema sveltezza tar la decumpressiun, independentamain dal cust dal nivel. La valur da standard resta nunmidada.

Il medium d’installaziun sez

L’ISO vegn construì cun archiso 90. b43-firmware è vegnì allontanà da quel: il pachet tirava il kernel mainline en il medium sper il kernel che Ditana aviescha. Il process da build è vegnì pli strict – nagut che vegn copià en il medium na po uss pli suandar in symlink enavos en il sistem live, las permissiuns da quai che vegn mess en il medium vegnan decleradas empè d’esser ertadas, e plirs gigabytes da datotecas intermediaras vegnan memorisads sin in disc empè d’in tmpfs.

Il medium cuntegna il stadi registrà en la controlla da versiuns e nagut auter: ina datoteca che sa chatta en l’ordinatur da lavur e che nagina regla dal repositori na declera, ferma in build signà, perquai che tut quai che sa chatta sut l’airootfs dal profil vegn en il maletg. Il sistem installà registrescha lura ses origin, sco BUILD_ID e VERSION_CODENAME en /usr/lib/os-release: tge medium che ha construì el e tge stadi da configuraziun che quest medium cuntegneva.

Builds che Vus pudais controllar

Mintga pachet che Ditana furnescha vegn reconstruì a partir da ses recept d’origin, signà e publitgà mo sco collecziun cumpletta: sch’in pachet na po betg vegnir construì u sche sias funtaunas na pon betg vegnir verifitgadas, na vegn insumma nagut publitgà. Dapi la versiun 0.9.3 è quest process daventà visibel. Mintga execuziun vegn registrada e publitgada, inclusiv las execuziuns che n’han furnì nagut, e mintga pachet ch’è vegnì reconstruì cuntegna ina colliaziun al protocol da ses agen build.

Dapi lura èn vegnidas agiuntadas duas chaussas. Mintga midada ch’in recept d’origin introducescha vegn classifitgada avant che la construcziun cumenza, e tut quai che n’è betg segir da princip ferma l’entira execuziun, per ch’ina persuna examineschia la midada – l’AUR è stà la mira d’in’attatga activa cunter la chadaina da furniziun, e Ditana reconstruescha recepts da l’AUR en in repositori, dal qual las persunas che l’utiliseschan sa fidan tras la configuraziun da signaturas da pacman. Ed in repositori che vegn construì e signà senza problems po tuttina esser in repositori, dal qual nagin na po installar; perquai vegn el installà en ina maschina virtuala, avant ch’el vegn publitgà.

La pipeline, sin la quala tut quai sa basa, è uss er publica. Ella è pli veglia che Ditana: ella ha cumenzà enturn il 2023 sco in sulet script da shell e n’era mai destinada als egls d’autras persunas. Ella vegn publitgada, perquai che las affirmaziuns da la pagina dals builds valan quai che lur cumprovas valan, ed ella fa part da las cumprovas. Ella sa chatta sin github.com/acrion/ditana-build, e las execuziuns ch’ella registrescha sa chattan sin ditana.org/builds.

Ils pachets vegnan signads cun in’atgna clav secundara da signatura empè da la clav principala. Ina clav secundara po vegnir revocada e remplazzada separadamain, e na po betg certifitgar ulteriuras clavs. Nagut na sto vegnir fatg: il portaclavs che cuntegna questa clav è vegnì furnì l’avust ed è gia daditg vegnì installà.

Actualisar a partir da la versiun 0.9.3

Installaziuns ch’èn vegnidas creadas cun il medium da la versiun 0.9.3 funcziunan vinavant, cun in sulet cas che sto vegnir schlià manualmain. bubblewrap-suid n’exista betg pli, perquai remplazza la proxima actualisaziun dal sistem quest pachet, e Flatpak e Bubblejail na funcziunan betg pli sin ina maschina, nua ch’ils spazis da num da l’utilisader senza privilegis èn deactivads. Brave ed autras applicaziuns da l’AUR n’èn betg pertutgadas.

Il remedi è il guardian descrit survart:

sudo pacman -Syu ditana-userns-guard
echo /usr/bin/bwrap | sudo tee /etc/ditana/userns-allow.conf
sudo systemctl enable --now ditana-userns-guard.service

In percurs absolut per lingia; # introducescha in commentari. Il servetsch refusa d’augmentar il sysctl, sch’el n’ha betg l’emprim chargià e collià il program, uschia ch’ina maschina, sin la quala el na po betg funcziunar, resta exactamain uschè restrenschida sco ch’ella era.

In medium pli vegl na po insumma betg pli installar. L’installatur telechargia sia configuraziun cura ch’el vegn exequì, uschia ch’in stick USB da la versiun 0.9.3 tschertga pachets che ses agen repositori na po betg pli furnir, e sa ferma. Scrivai il maletg actual sin il stick.

Ina nova installaziun cun il medium da la versiun 0.9.4 na dovra nagut da tut quai.