sergio/takana

1# linux-firmware 20260910 — los BLOBS del hardware. La receta que le faltaba al metal.
2#
3# ══ POR QUÉ ESTA RECETA ROMPE LA REGLA, Y POR QUÉ ESTÁ BIEN ════════════════════════════════════
4# takana compila todo desde fuente. Esto NO se compila desde fuente: es firmware binario que Intel,
5# Realtek y el resto no liberan. La soberanía de «reproducir, no confiar» **no aplica** acá, igual
6# que no aplica al microcódigo de la CPU: son DATOS FIJOS, no código que podamos auditar ni
7# rebuildear. Lo que sí podemos hacer —y hacemos— es **fijarlos por contenido**: un tarball con su
8# sha256, como cualquier fuente pineada (ADR 0006). El artefacto es reproducible aunque su
9# contenido sea opaco.
10#
11# ══ QUÉ TODO CIERRA ════════════════════════════════════════════════════════════════════════════
12# `scripts/metal-firmware.sh` lleva desde que se escribió con este comentario al pie:
13#
14#     TODO(soberanía): reemplazar FWSRC=host por un pin a un commit de linux-firmware
15#     (recipe fetch+extract).
16#
17# Eso es esta receta. Hasta hoy el firmware del metal se COPIABA DEL HOST (`/lib/firmware` de la
18# Artix del usuario), lo que significa que una imagen de takana sólo se podía armar desde una
19# máquina que ya tuviera el firmware correcto instalado por otra distro. Un instalador que hay que
20# construir desde la distro que viene a reemplazar no es un instalador.
21#
22# ══ PESA 648 MB COMPRIMIDO, Y POR ESO NO VA EN NINGÚN PERFIL ═══════════════════════════════════
23# El árbol extraído son ~2 GB: firmware de todas las GPU, WiFi, bluetooth, DSP y controladoras que
24# Linux conoce. Meter eso en una imagen de escritorio sería absurdo. **Esta receta es una BASE, no
25# un miembro de perfil**: quien la consume es `firmware-tigerlake`, que extrae las cuatro familias
26# que una laptop concreta pide. Si mañana hay otro metal, es otra receta derivada de dos líneas —
27# no un segundo fetch de 648 MB.
28#
29# Por eso `perfiles` no la reclama nadie en `targets.toml`: entra por la dep de su derivada.
30name    = "linux-firmware"
31version = "20260910"
32license = "LicenseRef-linux-firmware-various"   # cada blob trae su propia licencia en WHENCE
33
34[source]
35tarball = "https://cdn.kernel.org/pub/linux/kernel/firmware/linux-firmware-20260910.tar.xz"
36# sha256 bajado y calculado el 2026-09-16, y **contrastado contra el `sha256sums.asc` que kernel.org
37# publica firmado en el mismo directorio** — no sólo contra el fichero que bajamos, que sería
38# comprobar que un fichero es igual a sí mismo. Coinciden.
39sha256  = "f3937ca282ba256242e2b6dbe523df8a80007d29ffd61f56d270190865492ea8"
40
41# ══ QUÉ TRAE Y QUÉ NO — MEDIDO SOBRE EL TARBALL, NO SUPUESTO ═══════════════════════════════════
42#     entradas ........ 5323
43#     i915/tgl ........ 15    ✓  (DMC, GuC, HuC de TigerLake)
44#     iwlwifi ......... 201   ✓  (en `intel/iwlwifi/`, no en la raíz)
45#     intel/sof ....... 0     ✗  ⇒ el audio va por `recipes/sof-firmware.toml`, aparte
46#     amd-ucode ....... sí      (pero el microcódigo de Intel NO: lo publica Intel por su cuenta)
47
48[build]
49compiler = "zig-cc"           # entra en el hash aunque no se compile nada; se deja el default del corpus
50target   = "x86_64-linux-musl"
51link     = "static"
52strip_debug = false           # son blobs: no hay secciones de depuración que separar
53flags    = []
54
55[build.phases]
56configure = "echo 'linux-firmware: nada que configurar — son blobs'"
57compile   = "echo 'linux-firmware: nada que compilar — son blobs'"
58# El `install` del propio árbol (`make install`) usa un script que depende de rdfind/symlink
59# rewriting. Se evita: copiar el árbol tal cual es más simple y no pierde los symlinks internos
60# (cp -a los preserva), que es exactamente lo que el kernel espera encontrar.
61install = '''
62set -e
63mkdir -p /out/lib/firmware
64cp -a ./* /out/lib/firmware/
65# WHENCE es el índice de licencias por blob. Se conserva: es la única trazabilidad legal que
66# tienen estos ficheros y `scripts/licencias-*.sh` lo va a querer leer.
67[ -f /out/lib/firmware/WHENCE ] || { echo "linux-firmware: falta WHENCE — el tarball no es el que se espera" >&2; exit 1; }
68
69# ── LOS ENLACES, QUE EL TARBALL NO TRAE (medido 2026-09-17) ─────────────────────────────────────
70# Esta receta decía «cp -a preserva los symlinks internos, que es lo que el kernel espera». La
71# premisa es FALSA: `find -type l` sobre el árbol desempaquetado da **0**. Los ~2400 enlaces los
72# crea `copy-firmware.sh` AL INSTALAR, leyéndolos de WHENCE, y esta receta evita ese script (pide
73# rdfind). Resultado: un artefacto de 1,9 G, sellado y reproducible, en el que **iwlwifi no carga**
74# — el driver pide `iwlwifi-QuZ-a0-hr-b0-77.ucode` en la raíz y el blob vive en `intel/iwlwifi/`.
75# Justo el metal al que apunta `firmware-tigerlake` (TigerLake/AX201) se queda sin WiFi.
76# El destino de cada `Link:` es relativo AL DIRECTORIO DEL ENLACE, no a /lib/firmware.
77sed -n 's/^Link:[[:space:]]*//p' /out/lib/firmware/WHENCE \
78  | sed 's/[[:space:]]*->[[:space:]]*/\t/' > /tmp/whence-links.tsv
79declarados=$(wc -l < /tmp/whence-links.tsv)
80# TRES PASADAS, y el motivo es medido: WHENCE encadena enlaces —`a -> b` donde `b` es a su vez un
81# enlace que se declara más abajo—. Con una sola pasada el destino todavía no existe cuando toca
82# crear el primero, y quedaban 2078 de 2415 (86 %), que es justo lo que hizo saltar al guardián.
83hechos=0
84for pasada in 1 2 3; do
85	antes=$hechos
86	while IFS="$(printf '\t')" read -r dst src; do
87		[ -n "$dst" ] && [ -n "$src" ] || continue
88		dst_abs="/out/lib/firmware/$dst"
89		[ -e "$dst_abs" ] && continue    # ya hecho (o es un fichero de verdad)
90		dir=$(dirname "$dst_abs")
91		# El directorio del enlace se crea ANTES de resolver el destino: muchos son de la forma
92		# `ath11k/WCN6855/hw2.1/regdb.bin -> ../hw2.0/regdb.bin`, y un `..` no resuelve si el
93		# directorio desde el que cuelga todavía no existe. Medido: con el test hecho antes del
94		# mkdir fallaban 337 de 2415 y parecía que el tarball venía roto; con el mkdir primero
95		# resuelven los 2415. El fallo estaba en la comprobación, no en los datos.
96		mkdir -p "$dir"
97		if [ ! -e "$dir/$src" ]; then
98			rmdir "$dir" 2>/dev/null || true   # no dejar un directorio vacío de recuerdo
99			continue
100		fi
101		ln -sf "$src" "$dst_abs"
102		hechos=$((hechos+1))
103	done < /tmp/whence-links.tsv
104	echo "linux-firmware: pasada $pasada — $hechos/$declarados enlaces"
105	[ "$hechos" -eq "$antes" ] && break
106done
107[ "$hechos" -ge $((declarados * 9 / 10)) ] || { echo "linux-firmware: sólo $hechos de $declarados enlaces — el árbol no casa con su WHENCE" >&2; exit 1; }
108
109# ── Aserción de completitud, CONTRA WHENCE y no contra un número mágico ─────────────────────────
110# Antes decía `> 5000 ficheros`, medido sobre una versión vieja. La 20260910 trae 4889 y el guardián
111# la rechazaba por completa: un umbral a mano envejece y miente en la dirección cara (frena lo bueno).
112# WHENCE viaja DENTRO del tarball y dice cuántos blobs debería haber: se le pregunta a él.
113n=$(find /out/lib/firmware -type f | wc -l)
114decl=$(grep -c "^File:" /out/lib/firmware/WHENCE)
115[ "$n" -ge "$decl" ] || { echo "linux-firmware: $n ficheros y WHENCE declara $decl — el árbol llegó incompleto" >&2; exit 1; }
116echo "linux-firmware: $n ficheros instalados (WHENCE declara $decl)"
117# El control que de verdad importa para el metal de esta casa:
118[ -e /out/lib/firmware/i915 ] || { echo "linux-firmware: falta i915 — el gráfico de TigerLake no arrancaría" >&2; exit 1; }
119'''
120
121[deps]
122build = []