sergio/takana

1# arje-polkit-compat — el shim de `org.freedesktop.PolicyKit1.Authority` del fractal.
2#
3# POR QUÉ HACE FALTA, y es un diagnóstico que su propio autor ya había escrito: el comentario del
4# crate dice literalmente «apps que usan polkit bloquean en `CheckAuthorization` si no responde
5# nadie». Eso es exactamente lo que pasaba al arrancar la sesión GNOME:
6#
7#   !! bus: org.freedesktop.Accounts NO apareció en 10s
8#   !! bus: org.freedesktop.UPower   NO apareció en 10s
9#   nombres en el bus: org.freedesktop.DBus, org.freedesktop.login1, :1.0, :1.1, :1.2
10#
11# Los dos daemons estaban CONECTADOS al bus (`:1.x`) pero sin adquirir su nombre: se quedaban en
12# `polkit_authority_get_sync()` esperando a un `org.freedesktop.PolicyKit1` que no existía. Y como no
13# adquirían el nombre, gnome-shell esperaba 25 s a cada uno.
14#
15# **Ese dato no se sacó del log del daemon sino de la LISTA DE NOMBRES DEL BUS**: una conexión anónima
16# sin nombre bien conocido dice «arrancó y no llegó a pedirlo», que es distinto de «no arrancó» y de
17# «lo pidió y se lo negaron». Vale para cualquier servicio D-Bus que parezca colgado.
18#
19# POR QUÉ ESTE SHIM Y NO EL polkitd DE VERDAD: nuestra receta `polkit` va con `-Dlibs-only=true` —el
20# bloque `if not libs_only` es justo el que pide expat y duktape— y la decisión estaba tomada desde
21# entonces: **el demonio lo pone arje**. La autorización real del fractal no es polkit sino SO_PEERCRED
22# + capability grants sobre el bus interno; polkit es sólo la interfaz que el escritorio espera
23# encontrar.
24#
25# ⚠ POSTURA DE SEGURIDAD, explícita porque no es un detalle: este shim responde
26# `is_authorized = true` a TODO, y deja traza en el log de qué se pidió. Es la decisión que arje ya
27# había tomado —el fractal es un sistema confiado y la puerta está en otro lado—, no algo que esta
28# receta introduzca. Su propio comentario marca el camino de producción: que `CheckAuthorization` pida
29# un token al grafo y devuelva el resultado. Mientras eso no exista, **cualquier cliente de polkit en
30# esta distro está autorizado**, y quien lea esta receta tiene que saberlo.
31#
32# HUB-ONLY, como toda receta con fuente tawasuyu: el clone va a `gitea@git.tawasuyu.net` por el puerto
33# 22 y la gitea escucha en :2345; el worker efímero es secretless por diseño y recibe
34# `Connection refused`. Se muele en el hub. Ver [[rootfs-laptop-worker-divergen]].
35name    = "arje-polkit-compat"
36version = "0.0.1"
37license = "MIT"
38
39[source]
40# Mismo commit y misma rama que arje-logind-compat: `selfhost/arje-zero-attest-lockfile` es la única
41# que versiona el `Cargo.lock` de la raíz, sin el cual el vendoreo `--locked` no es reproducible.
42repo   = "gitea@git.tawasuyu.net:tawasuyu/tawasuyu.git"
43commit = "98db584fd28d9ff2bf34c9cf7d7db2e1de0b3fd0"
44# El monorepo commitea su propio `vendor/` (la copia parcheada de smithay que mirada necesita) y el
45# `cargo vendor` de hammer lo pisaría. Ver [[hammer-cargo-vendor-clobbers-project-vendor]].
46cargo_vendor_dir = ".hammer-cargo-vendor"
47
48[build]
49compiler = "zig-cc"
50target   = "x86_64-linux-musl"
51link     = "static"
52flags    = ["-p", "arje-compat", "--bin", "arje-polkit-compat"]
53
54# ── La POLÍTICA D-Bus viaja con el artefacto ───────────────────────────────────────────────────
55# Misma razón que en arje-logind-compat: un servicio que no puede adueñarse de su nombre no es un
56# servicio, así que su política es parte de lo que el paquete promete. Hasta hoy la escribía el script
57# de la imagen de GNOME, con lo cual el shim existía para las otras imágenes y no servía en ellas.
58#
59# ⚠ EL NOMBRE `zz-` NO ES DECORATIVO. A diferencia de login1, acá el nombre YA TIENE política: la trae
60# el artefacto de `polkit`, y permite `own` sólo al usuario **polkitd** — este shim corre como root, así
61# que con ella sola se lo niegan. dbus lee `system.d` en ORDEN ALFABÉTICO y las reglas posteriores
62# ganan, de modo que un fichero que ordene después AÑADE el permiso sin descartar el resto de la
63# política de upstream (que además trae las reglas de `AuthenticationAgent`). Reescribir la de polkit
64# habría sido pisar un artefacto sellado.
65[build.phases]
66install = '''
67set -e
68mkdir -p /out/usr/bin /out/usr/share/dbus-1/system.d
69find target/release -maxdepth 1 -type f -perm -100 -exec cp {} /out/usr/bin/ \;
70cat > /out/usr/share/dbus-1/system.d/zz-arje-polkit-compat.conf <<'XML'
71<!DOCTYPE busconfig PUBLIC "-//freedesktop//DTD D-Bus Bus Configuration 1.0//EN"
72 "http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd">
73<!-- Añade a la política de polkit el permiso que el shim del fractal necesita: la de upstream sólo
74     deja adueñarse del nombre al usuario `polkitd`, y arje-polkit-compat corre como root. -->
75<busconfig>
76  <policy user="root">
77    <allow own="org.freedesktop.PolicyKit1"/>
78  </policy>
79  <policy context="default">
80    <allow send_destination="org.freedesktop.PolicyKit1"/>
81    <allow receive_sender="org.freedesktop.PolicyKit1"/>
82  </policy>
83</busconfig>
84XML
85'''