Ondertekende APT-bron voor OciDeck #2099

Merged

brenno merged 4 commits from codex/apt-repository into main

2026-09-16 13:30:37 +00:00

brenno commented

2026-09-15 13:31:59 +00:00

Owner

Wat verandert er

Publiceert iedere release-.deb ook naar de ondertekende Forgejo Debian-registry (stable/main).
Faalt gesloten bij ontbrekende rechten of afwijkende bytes voor een bestaande versie.
Documenteert dat APT-updates via de pakketbeheerder lopen zonder verkeer vanuit OciDeck zelf.

Bewakerafweging

De losse release-download blijft canoniek. De bron draait op de eigen Forgejo, voegt geen externe afhankelijkheid toe en alleen de repositorymetadata wordt ondertekend; die grens staat expliciet in SECURITY.md.

Gecontroleerd

.deb 0.6.3 gepubliceerd; herhaling met gelijke sha256 is idempotent.
Schone Debian Bookworm-container: sleutel importeren, apt update en kandidaat 0.6.3 geslaagd.
dart analyze test/linux_packaging_test.dart
shellcheck scripts/publish_debian_package.sh
git diff --check
gitleaks (werkboom + historie), trufflehog (werkboom + historie), Semgrep: nul bevindingen.

make check en de Flutter-test starten lokaal niet doordat de machine vóór het project de niet-geaccepteerde Xcode-licentie afdwingt (exit 69). Dat is een bestaande omgevingsblokkade; de gerichte statische controles hierboven zijn wel schoon.

Bestaand package-token

De workflow hergebruikt repositorysecret CI_IMAGE_TOKEN. Het gekoppelde token ocideck-ci-image is aanwezig en heeft uitsluitend write:package; er is dus geen nieuw token of extra bevoegdheid nodig.

## Wat verandert er - Publiceert iedere release-.deb ook naar de ondertekende Forgejo Debian-registry (`stable/main`). - Faalt gesloten bij ontbrekende rechten of afwijkende bytes voor een bestaande versie. - Documenteert dat APT-updates via de pakketbeheerder lopen zonder verkeer vanuit OciDeck zelf. ## Bewakerafweging De losse release-download blijft canoniek. De bron draait op de eigen Forgejo, voegt geen externe afhankelijkheid toe en alleen de repositorymetadata wordt ondertekend; die grens staat expliciet in SECURITY.md. ## Gecontroleerd - `.deb` 0.6.3 gepubliceerd; herhaling met gelijke sha256 is idempotent. - Schone Debian Bookworm-container: sleutel importeren, `apt update` en kandidaat 0.6.3 geslaagd. - `dart analyze test/linux_packaging_test.dart` - `shellcheck scripts/publish_debian_package.sh` - `git diff --check` - gitleaks (werkboom + historie), trufflehog (werkboom + historie), Semgrep: nul bevindingen. `make check` en de Flutter-test starten lokaal niet doordat de machine vóór het project de niet-geaccepteerde Xcode-licentie afdwingt (exit 69). Dat is een bestaande omgevingsblokkade; de gerichte statische controles hierboven zijn wel schoon. ## Bestaand package-token De workflow hergebruikt repositorysecret `CI_IMAGE_TOKEN`. Het gekoppelde token `ocideck-ci-image` is aanwezig en heeft uitsluitend `write:package`; er is dus geen nieuw token of extra bevoegdheid nodig.

brenno added 2 commits

2026-09-15 13:31:59 +00:00