sergio/takana
> Una distribución Linux construida con un laboratorio funcional y hermético en el > sótano, y una terminal mutable, clásica y anárquica en el piso de arriba — diseñada > desde el suelo para que una IA programadora entienda, modifique y co…
paso 2: el bit de privilegio se declara y se verifica — y `doas` queda solo (SDD 28 §5.11)
1# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
2# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
3# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
4name = "doas"
5version = "6.8.2"
6license = "ISC"
7
8[source]
9tarball = "https://github.com/Duncaen/OpenDoas/archive/v6.8.2.tar.gz"
10# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
11# sha512 = "4a93ff477413c859ba2702e688fa4f83248fff85e61e12336838a1e9aa1a8d9963a9782e4bc5e58e8d04b86c2c8ceb6b235ae9d3b32b3e548a2514a43653137d"
12sha256 = "6da058a0e70b7543bc60624389b0b00b686189ec933828c522bf8b2600495a67"
13patches = ["configuration-directory.patch", "manpage-example-path.patch", "change-PATH.patch", "rowhammer.patch"]
14
15[build]
16compiler = "zig-cc"
17target = "x86_64-linux-musl"
18link = "static"
19
20# Split de la info de depuración (SDD 23 etapa 4, tanda de HOJAS). Entra en `hash_inputs`.
21strip_debug = true
22flags = []
23
24[build.phases]
25# de build() de Alpine (traducido; el lab provee $CBUILD/$CHOST — Etapa G Fase 3; revisá --shared para estático):
26compile = '''
27_abuild_phase() {
28./configure \
29 --prefix=/usr \
30 --without-pam \
31 --with-timestamp \
32 --with-doas-confdir
33 make
34}
35_abuild_phase
36'''
37# package(): copia manual (make install hace chown root:root → falla en el sandbox;
38# doas.conf de aports no viaja).
39#
40# ⚠ Acá decía «el binario setuid es cosa de la hidratación», y era FALSO: no había nadie que lo
41# pusiera. Medido el 2026-09-22 — `grep -rn S_ISUID crates/` daba CERO, el artefacto sale `r-xr-xr-x`
42# y `doas` en las 7 imágenes no podía funcionar. Desde hoy el bit se DECLARA abajo (`[[setuid]]`) y
43# lo aplica el ensamblado rompiendo el enlace duro (`takana setuid --apply`, SDD 28 §5.11).
44install = '''
45_abuild_phase() {
46 install -D -m 755 doas "/out"/usr/bin/doas
47 install -D -m 644 doas.1 "/out"/usr/share/man/man1/doas.1 2>/dev/null || true
48 install -D -m 644 doas.conf.5 "/out"/usr/share/man/man5/doas.conf.5 2>/dev/null || true
49}
50_abuild_phase
51'''
52
53# ══ EL BIT DE PRIVILEGIO ═══════════════════════════════════════════════════════════════════════
54# Fuera de `hash_inputs` (como `license`, `[[service]]` y `[[user]]`) ⇒ declararlo NO re-sella nada.
55# No puede vivir en el artefacto: `of_tree` sólo hashea el bit de ejecución, y la hidratación es por
56# hardlink ⇒ el `chmod` viajaría al artefacto que comparten todas las imágenes. Ver `crate::setuid`.
57#
58# ⚠ **Con el bit puesto todavía falta el `doas.conf`**, y sin él doas RECHAZA todo («no rule
59# matched»). No se inventa acá una regla: quién puede escalar es decisión de la imagen (¿grupo
60# `wheel`?, ¿qué usuario humano?), y hoy las imágenes no tienen usuario humano — el instalador sólo
61# pone contraseña de root. Es el mismo hueco que el `/etc/shells` del SDD 28 §5.11, y es la unidad de
62# trabajo siguiente. Declarar el bit ahora es correcto igual: es lo que no depende de esa decisión.
63[[setuid]]
64path = "usr/bin/doas"
65why = "es el ÚNICO camino de escalada de la imagen desde que `sudo` salió de los perfiles (2026-09-22): 134 KB contra 13 M y una superficie mínima. Sin el bit, un usuario no-root no puede administrar la caja ni con la contraseña correcta, y el error no menciona el privilegio."
66
67[deps]
68build = ["binutils", "bison", "make"]