SergioandClaude Opus 5
64d48e743e
**minga con su daemon escuchando.** Decisión del usuario: minga es la ventana oficial al mundo y git queda como espejo de compatibilidad, así que el daemon no es opcional — es el punto de entrada. El binario ya está sellado (`b3:121cf4a8…`, 22 M, static-pie) y ahora trae su `[[user]]` (uid 970, home `/work/minga`: en la raíz no cabe y `/work` sobrevive a un re-`dd`) y su `[[service]]`: `listen /ip4/0.0.0.0/tcp/4001` — la convención libp2p, libre en la caja (ocupados: 22022 admin, 2345 git-SSH, 3002 gitea en loopback, 80/443 caddy). Declarar ambos **no movió el ArtifactHash**. ⚠⚠ **La identidad no se sella ni se inventa.** El keypair lo genera el usuario con `minga init`; tawasuyu avisó de que el suyo era provisorio. Si la card hiciera un `init` automático, la caja se inventaría su identidad soberana en el primer arranque y todo lo que se firme después colgaría de ella. La guarda comprueba que el repo exista y sale 78: un peer sin identidad decidida es peor que un peer ausente. **fastfetch** (2.68.1) entra al corpus y a `perfil.cli` — lo heredan servidor y los escritorios. Receta CMake con `-DCMAKE_LINK_DEPENDS_USE_LINKER=OFF` (sin eso el lld de zig segfaultea y el error no nombra a zig) y con la detección opcional APAGADA explícitamente: con `link = "static"` no hay `dlopen`, y una detección que entra «porque la librería estaba en el lab ese día» produce artefactos distintos bajo el mismo nombre. Y `ca-certificates`: el rehash se llamaba por nombre y **`c_rehash` lo instala esta misma receta en `/out/usr/bin`**, no está en el PATH del sandbox. Se invoca por su ruta. La guarda que añadí ayer hizo su trabajo: el build falló ruidosamente en vez de sellar otra vez un capath sin índice. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_016Tf9T4vGzsMoT7eS8YzMFn
96 lines
4.3 KiB
TOML
96 lines
4.3 KiB
TOML
# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
|
|
# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
|
|
# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
|
|
name = "ca-certificates"
|
|
version = "20260611"
|
|
license = "MPL-2.0"
|
|
|
|
[source]
|
|
tarball = "https://gitlab.alpinelinux.org/alpine/ca-certificates/-/archive/20260611/ca-certificates-20260611.tar.bz2"
|
|
# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
|
|
# sha512 = "f473a1111eb508ef5d1096489479dba07db6b0d76ef2b900b3473933d57419429061d83e9c1e881ab61c4b0f17c64859ec74d670da6fc1d83d9b0fa73e1b7d8d"
|
|
sha256 = "32ca73f2e81e2b88dc614f12e1ee04a82b1ec5a8e29d9f359ddf8905a0afcbb0"
|
|
|
|
[build]
|
|
compiler = "zig-cc"
|
|
target = "x86_64-linux-musl"
|
|
link = "static"
|
|
|
|
# Split de la info de depuración (SDD 23 etapa 4, tanda de HOJAS). Entra en `hash_inputs`.
|
|
strip_debug = true
|
|
flags = []
|
|
|
|
# openssl aporta libcrypto.a al overlay del sandbox (/usr/lib) para enlazar c_rehash
|
|
# (`-lcrypto`). El resto del build (mk-ca-bundle.pl → cert.pem → split-ca-bundle.sh) usa
|
|
# el perl + coreutils del rootfs; no requiere el CLI de openssl.
|
|
[deps]
|
|
build = ["binutils", "openssl", "perl"]
|
|
|
|
[build.phases]
|
|
# de build() de Alpine (traducido; el lab provee $CBUILD/$CHOST — Etapa G Fase 3; revisá --shared para estático):
|
|
compile = '''
|
|
_abuild_phase() {
|
|
make
|
|
}
|
|
_abuild_phase
|
|
'''
|
|
# de package() de Alpine (traducido $pkgdir→/out):
|
|
install = '''
|
|
_abuild_phase() {
|
|
make install DESTDIR="/out"
|
|
|
|
(
|
|
echo "# Automatically generated by ca-certificates-20260611-r$pkgrel"
|
|
echo "# $(date -ud@$SOURCE_DATE_EPOCH)"
|
|
echo "#"
|
|
cd "/out"/usr/share/ca-certificates
|
|
find . -name '*.crt' | sort | cut -b3-
|
|
) > "/out"/etc/ca-certificates.conf
|
|
|
|
# generate the bundle in similar way as update-ca-certificates would do
|
|
find -- *.crt | sort | while read -r i; do
|
|
cat "$i"
|
|
printf "\n"
|
|
done > "/out"/etc/ssl/certs/ca-certificates.crt
|
|
|
|
mkdir -p "/out"/etc/apk/protected_paths.d
|
|
cat > "/out"/etc/apk/protected_paths.d/ca-certificates.list <<-EOF
|
|
-etc/ssl/certs/ca-certificates.crt
|
|
-etc/ssl/certs/ca-cert-*.pem
|
|
-etc/ssl/certs/[0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f][0-9a-f].[r0-9]*
|
|
EOF
|
|
|
|
cat > "/out"/etc/ca-certificates/update.d/certhash <<-EOF
|
|
#!/bin/sh
|
|
exec /usr/bin/c_rehash /etc/ssl/certs
|
|
EOF
|
|
chmod +x "/out"/etc/ca-certificates/update.d/certhash
|
|
|
|
# ── LOS HASH-LINKS, HECHOS EN EL BUILD (2026-09-14) ──────────────────────────────────────
|
|
# En Alpine ese hook de arriba lo ejecuta `apk` al instalar. **Acá no lo ejecuta nadie**: takana
|
|
# proyecta artefactos, no corre post-install. Resultado medido en la caja de producción: el
|
|
# `curl` de la distro está compilado con `--with-ca-path=/etc/ssl/certs` y SIN CAfile, así que
|
|
# mira un directorio que sólo tiene el bundle — y **no puede validar ningún certificado**:
|
|
#
|
|
# * CApath: /etc/ssl/certs
|
|
# * SSL certificate ... unable to get local issuer certificate (20)
|
|
#
|
|
# No falla al construir ni al instalar: falla la primera vez que la caja intenta bajar algo por
|
|
# HTTPS (`qorpa pull`, `install --repo https://…`, el mirror). Con `--cacert` el mismo curl da
|
|
# 200, que es la prueba de que los certificados están y lo que falta es el ÍNDICE.
|
|
#
|
|
# Se generan acá, donde `c_rehash` y perl existen, y viajan dentro del artefacto.
|
|
# ⚠ `c_rehash` lo compila e instala ESTA receta (`install -m755 c_rehash /out/usr/bin`), así que
|
|
# no está en el `PATH` del sandbox: hay que invocarlo por su ruta de destino. La primera versión
|
|
# lo llamaba por nombre, no lo encontraba, y la guarda de abajo cazó el silencio.
|
|
cp "/out"/usr/share/ca-certificates/*.crt "/out"/etc/ssl/certs/ 2>/dev/null || true
|
|
"/out"/usr/bin/c_rehash "/out"/etc/ssl/certs || ./c_rehash "/out"/etc/ssl/certs || true
|
|
# Falla ruidosamente si el rehash no produjo NADA: un capath sin enlaces es exactamente el bug
|
|
# que esto viene a cerrar, y sellarlo en silencio lo devolvería intacto.
|
|
n=$(find "/out"/etc/ssl/certs -name '*.0' | wc -l)
|
|
[ "$n" -gt 0 ] || { echo "ca-certificates: c_rehash no generó hash-links en /etc/ssl/certs" >&2; exit 1; }
|
|
echo "ca-certificates: $n hash-links en el capath"
|
|
}
|
|
_abuild_phase
|
|
'''
|