sergio/takana

1# Importada de Alpine aports por `takana import-alpine` (Etapa G). PUNTO DE PARTIDA — pero
2# YA trae los parches de musl de Alpine (lo que un import de nix pierde). Pendiente: el
3# sha256 del tarball (el wrapper lo calcula), y adaptar build/install del shell de abuild.
4#
5# ⚠ CONSECUENCIA MEDIDA DE `--disable-account-tools-setuid` (2026-09-21, caja `takana`): para un
6# usuario que NO sea root, `chsh`, `passwd`, `su`, `chfn` y `newgrp` **no funcionan**. El síntoma
7# no menciona setuid por ningún lado:
8#
9#     $ su sergio -c "chsh -s /bin/bash"
10#     Cannot change ID to root.
11#
12# La bandera vino en el import de Alpine —allá esos binarios los hace setuid el empaquetado, no el
13# configure— y acá no hay quien se lo reponga: el artefacto sale `r-xr-xr-x` del store. Y aunque la
14# receta lo pusiera, **`ArtifactHash::of_tree` sólo hashea el bit de EJECUCIÓN** (`mode & 0o111`),
15# así que hoy el modelo de artefactos no puede ni expresar ni garantizar un binario setuid.
16#
17# Quitar la bandera NO alcanza y además es una decisión de seguridad, no un arreglo de receta:
18# un setuid root en una distro de artefactos sellados necesita su propia conversación (¿quién lo
19# pone, quién lo verifica, y qué pasa cuando el hash no lo cubre?). Ver SDD 28 §5.11.
20name    = "shadow"
21version = "4.18.0"
22license = "BSD-2-Clause"
23
24[source]
25tarball = "https://github.com/shadow-maint/shadow/releases/download/4.18.0/shadow-4.18.0.tar.xz"
26# FIXME sha256: el wrapper lo calcula (Alpine publica sha512). sha512 de Alpine:
27# sha512 = "e724670362949ccb570bb300322eb280c28ad609d631072b8db15a5e6eeba9fb9ac5d3df1df270f8b894235e4995b56c0e8f9aadb34d66bb5cea9b7a4f55e6ce"
28sha256  = "add4604d3bc410344433122a819ee4154b79dd8316a56298c60417e637c07608"
29patches = ["useradd-defaults.patch"]
30
31[build]
32compiler = "zig-cc"
33target   = "x86_64-linux-musl"
34link     = "static"
35flags    = []
36
37[build.phases]
38# fase configure EXPLÍCITA: si la receta no la define, takana autogenera su propio
39# `./configure --prefix=/usr` (sin nuestros --disable-*) e ignora estos flags.
40# De-Alpinizada: sin PAM (musl trae crypt), sin selinux/audit/acl/attr, estático musl.
41configure = '''
42./configure \
43	--build=$CBUILD \
44	--host=$CHOST \
45	--prefix=/usr \
46	--libdir=/usr/lib \
47	--sysconfdir=/etc \
48	--mandir=/usr/share/man \
49	--localstatedir=/var \
50	--disable-nls \
51	--disable-shared \
52	--enable-static \
53	--disable-account-tools-setuid \
54	--without-libbsd \
55	--without-libpam \
56	--without-audit \
57	--without-selinux \
58	--without-acl \
59	--without-attr \
60	--without-tcb \
61	--with-yescrypt \
62	--without-nscd \
63	--without-fcaps
64'''
65compile = '''
66# libtool se come el `-static` (lo lee como flag de libtool, no de link real).
67# El único camino a binarios musl 100% estáticos es su flag propio `-all-static`.
68make LDFLAGS="-all-static"
69'''
70# de package() de Alpine (traducido $pkgdir→/out), sin los pam.d de aports:
71install = '''
72make DESTDIR="/out" install
73make -C man DESTDIR="/out" install-man || true
74
75cd "/out"
76
77# Avoid conflict with man-pages package.
78rm -f usr/share/man/man3/getspnam.3*
79rm -f usr/share/man/man5/passwd.5*
80
81# /etc/login.defs is not very useful - replace it with an *almost* blank file.
82rm -f etc/login.defs
83echo "USERGROUPS_ENAB yes" > etc/login.defs
84echo "UID_MIN 1000" >> etc/login.defs
85
86# Used e.g. for unprivileged LXC containers.
87install -m644 /dev/null etc/subuid
88install -m644 /dev/null etc/subgid
89'''
90
91# deps de Alpine remapeadas al catálogo canónico. AUSENTES quitadas:
92# linux-pam, libbsd, setcap. Sin fcaps (setcap falla en el sandbox) ⇒ sin libcap.
93[deps]
94build = ["linux-headers", "make"]
95
96# ── EL BIT DE PRIVILEGIO (SDD 28 §5.11, `[[setuid]]`) ─────────────────────────────────────────────
97# Declarado el 2026-10-15, al medir los artefactos del store: los binarios de abajo salen todos
98# `-rwxr-xr-x` y en cualquier otra distro son setuid. El hueco estaba ANOTADO —el encabezado de
99# `crates/takana-core/src/setuid.rs` los lista uno por uno— y era LATENTE mientras el instalador
100# solo pusiera contrasena de root. Desde que `lib/cuenta.sh` crea una cuenta de persona, dejo de
101# ser latente: hay un humano no-root que los choca a todos.
102#
103# Es metadato (fuera de `hash_inputs`), asi que entra en una receta YA SELLADA sin mover un solo
104# `ArtifactHash` — comprobado con `takana hash --check` antes y despues.
105[[setuid]]
106path = "bin/su"
107mode = "4755"
108why  = "cambiar de usuario desde una sesion que no es root. Sin el bit contesta «su: must be suid to work properly» (busybox) o «Authentication failure» (shadow), y en los dos casos el mensaje manda a buscar la contrasena y no el permiso. Medido en metal el 2026-10-15, cuando era la unica escalada que le quedaba al operador."
109
110[[setuid]]
111path = "usr/bin/passwd"
112mode = "4755"
113why  = "que el dueno de la maquina pueda cambiar SU PROPIA contrasena. Importa mas de lo que parece porque root queda cerrado por diseno cuando hay quien escale con doas: sin este bit, la contrasena de la persona solo se puede cambiar con `doas passwd`, y el que la olvida no tiene camino."
114
115[[setuid]]
116path = "usr/bin/newuidmap"
117mode = "4755"
118why  = "escribe el uid_map de un user namespace sin privilegio. Lo pide la jaula de compilacion: `scripts/qorpa/qorpa-preflight.sh` ya lo comprueba y avisa «newuidmap SIN setuid y SIN capability — no puede escribir el uid_map», o sea que el hueco estaba detectado y sin cerrar."
119
120[[setuid]]
121path = "usr/bin/newgidmap"
122mode = "4755"
123why  = "el par del anterior para el gid_map: los dos o ninguno, porque un namespace con uid mapeado y gid sin mapear falla al primer acceso a un fichero de grupo."