sergio/takana

1# OpenSSH 10.3p1 — servidor/cliente SSH desde fuente (Etapa C, LA excepción C del userland Rust).
2#
3# El recorrido de la Etapa C reemplaza busybox pieza por pieza con reimplementaciones Rust maduras
4# (coreutils/findutils/diffutils/ripgrep/netup). OpenSSH es la EXCEPCIÓN deliberada: NO hay servidor
5# SSH en Rust con la madurez/auditoría de OpenSSH (russh/thrussh son librerías cliente, no un sshd de
6# producción), así que la red de servicios se apoya en el OpenSSH portable canónico, construido desde
7# fuente con takana (no `apk add openssh`). Provee sshd + ssh + ssh-keygen + scp/sftp.
8#
9# DE-ALPINIZADO: build vainilla del tarball portable upstream (cdn.openbsd.org), sin los parches de
10# Alpine (que son para PAM/login.conf/utmp, que aquí NO se usan). Es un SERVICIO del producto, no un
11# input del 4/4 (of_tree) ni una herramienta del toolchain ⇒ no necesita casar byte-a-byte con nada;
12# el criterio es "construye y corre".
13#
14# DEPS (deps.build → materialize como capas overlay en /usr del sandbox):
15#   - openssl (recipes/openssl.toml): libcrypto.a estática + headers. sshd enlaza la cripto.
16#   - zlib    (recipes/zlib.toml):    libz.a estática. compresión opcional del transporte.
17# Ambas son no-shared (sólo .a) ⇒ el enlace de OpenSSH es estático por construcción contra ellas; se
18# fuerza LDFLAGS=-static para un sshd/ssh completamente estáticos musl (sin .so que resolver, robusto
19# para un daemon de arranque temprano). getpwnam/getservbyname en musl estático funcionan sin NSS.
20#
21# COMPILADOR: zig cc con zig 0.13.0 (NO 0.16). Igual que openssl/binutils/python3: zig 0.14+ MISCOMPILA
22# binarios musl (regresión 0.14, bisect con flex) y 0.13.0 la esquiva. Coherente además con que
23# libcrypto.a se compiló con el mismo zig 0.13.0.
24#
25# RUNTIME (NO build — se cablea en la card de arje / init, ver Etapa C "servicios"):
26#   - usuario de privsep `sshd` en /etc/passwd y el dir /var/empty (root:root, 0711). La privsep es
27#     OBLIGATORIA en OpenSSH 10.x.
28#   - host keys: generarlas con `ssh-keygen -A` en el primer arranque (por eso el install es
29#     `install-nokeys`: NO generamos claves en build-time — serían no-reproducibles y secretas).
30#
31# GOTCHA install: `make install` normal corre host-key + check-config (invoca ssh-keygen/sshd y haría
32# chown a un usuario inexistente fuera de root) ⇒ se usa `install-nokeys`. STRIP_OPT="" desactiva el
33# stripping en la instalación (no dependemos de un `strip` concreto en el sandbox; el binario zig ya
34# sale razonable, y de-strippear es cosmético para un servicio).
35
36name    = "openssh"
37version = "10.3p1"
38# licencia: LICENCE del tarball pineado. Es una MEZCLA que el propio fichero enumera —BSD-2/3-Clause, ISC, MIT y dominio público— con el resumen «all components are under a BSD licence, or a licence more free than that». Se entrega el fichero entero en vez de una expresión compuesta: la enumeración de upstream no necesita interpretación nuestra
39license = "LicenseRef-openssh"
40
41[source]
42tarball = "https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-10.3p1.tar.gz"
43sha256  = "56682a36bb92dcf4b4f016fd8ec8e74059b79a8de25c15d670d731e7d18e45f4"
44
45[build]
46compiler    = "zig-cc"
47target      = "x86_64-linux-musl"
48link        = "static"
49zig_version = "0.13.0"
50
51[deps]
52build = ["zlib", "openssl", "perl"]
53
54[build.phases]
55# --sysconfdir=/etc/ssh: sshd_config/ssh_config viven en /etc/ssh. --with-ssl-dir/--with-zlib=/usr:
56# donde las deps overlayean sus .a + headers. --without-pam/--without-selinux: musl sin PAM, sin SELinux.
57# --with-privsep-path=/var/empty: jaula de privsep. LDFLAGS=-static: binarios musl ESTÁTICOS completos
58# (el target sólo trae el loader musl, no .so de zlib/openssl). --without-hardening: OBLIGATORIO con
59# -static. OpenSSH activa PIE (-fPIE/-pie) por defecto vía "toolchain hardening"; `-pie` GANA sobre
60# `-static` en zig cc/lld ⇒ sin esto el binario sale dinámico (PIE). configure desactiva el PIE
61# automático justo cuando el hardening está off (configure ~L16057: "Turn off automatic PIE when
62# toolchain hardening is off"). Se sacrifica stack-protector/RELRO del servicio — re-endurecer luego.
63#
64# GOTCHA ZIG -static + .so del devfs: el devfs Alpine trae `libz.so` en /usr/lib (zlib runtime base),
65# y `zig cc -static -lz`, con .a y .so presentes, PREFIERE el .so y enlaza DINÁMICO igual (NEEDED
66# libz.so.1) — verificado: `-l:libz.a` da estático puro, `-lz` no. libcrypto se libra sólo porque el
67# devfs no trae libcrypto.so. Para robustez explícita forzamos AMBOS al archivo estático exacto vía
68# `sed` sobre `CHANNELLIBS` del Makefile (único sitio con `-lcrypto`/`-lz`): los .a vienen de las deps
69# overlay en /usr/lib.
70#
71# GOTCHA ZIG -static + libc NATIVO: el sandbox exporta CC="zig cc -mcpu=baseline" SIN `-target`, o sea
72# zig nativo (Alpine musl). En modo nativo `zig cc -static` enlaza el `libc.so` del SISTEMA igual
73# (NEEDED libc.so) en vez del musl embebido de zig — todo lo demás queda estático pero libc no.
74# Override del CC con `-target x86_64-linux-musl`: fuerza el musl bundle de zig en modo estático ⇒
75# binario 100% estático (sin interpreter, sin NEEDED). Mismo triple ABI ⇒ enlaza con las .a nativas
76# (libcrypto.a/libz.a). Se fija en configure (autotools sustituye CC en el Makefile ⇒ compile+link).
77configure = "./configure --prefix=/usr --sysconfdir=/etc/ssh --with-ssl-dir=/usr --with-zlib=/usr --with-privsep-path=/var/empty --without-pam --without-selinux --without-hardening CC='zig cc -mcpu=baseline -target x86_64-linux-musl' LDFLAGS=-static && sed -i '/^CHANNELLIBS=/{s/-lcrypto/-l:libcrypto.a/g;s/-lz/-l:libz.a/g}' Makefile"
78compile   = "make -j\"$(nproc)\""
79install   = "make install-nokeys DESTDIR=/out STRIP_OPT="