Shelly 3.1 est désormais disponible en tant que nouvelle version du gestionnaire de paquets pour les distributions basées sur Arch Linux, et plus particulièrement pour CachyOS. Ce projet, qui vise à offrir une alternative moderne aux outils traditionnels tels que pacman et Octopi, inclut dans cette mise à jour une fonctionnalité particulièrement intéressante pour les utilisateurs avancés : la possibilité de compiler des paquets Arch Linux directement depuis le gestionnaire de paquets.
L'évolution de Shelly est particulièrement pertinente pour CachyOS , où il est devenu le gestionnaire de paquets graphique par défaut, remplaçant Octopi. Son approche va au-delà de la simple fourniture d'une interface graphique pour l'installation de programmes : il permet aux utilisateurs de gérer les dépôts officiels, l'AUR, les paquets locaux, les Flatpaks et les AppImages, le tout depuis une seule application. Avec la version 3.1, le projet enrichit encore cette approche en intégrant des outils de création et de vérification de paquets.
Shelly 3.1 vous permet de créer des paquets Arch Linux
La principale nouveauté de Shelly 3.1 est l'ajout de la commande shelly buildqui vous permet de créer des paquets compatibles avec Arch Linux directement à partir de l'outil. Le système ne se contente pas de servir d'interface graphique pour makepkgAu lieu de cela, elle intègre cette fonctionnalité au sein de sa propre bibliothèque native de gestion des paquets.
Les paquets générés utilisent un format compatible avec makepkg et produire des fichiers qui pourront être installés ultérieurement à l'aide de pacman et d'autres outils de l'écosystème Arch. Shelly est donc bien plus qu'un simple gestionnaire de paquets destiné exclusivement à l'utilisation de paquets préconfigurés.
Cette nouvelle fonctionnalité est particulièrement intéressante pour les développeurs, les responsables de la maintenance d'AUR et les utilisateurs qui modifient ou créent fréquemment leurs propres fichiers PKGBUILD. Au lieu de dépendre des outils traditionnels pour l'ensemble du processus, ils peuvent désormais utiliser l'infrastructure intégrée au projet.
Le processus de construction intègre des contrôles de sécurité.
L'une des caractéristiques les plus intéressantes de cette nouvelle fonction est que Shelly ne se contente pas de lancer une compilation et d'attendre sa fin. Avant de compiler un paquet, elle peut analyser différents éléments du processus de création.
Parmi eux se trouvent les PKGBUILD Il analyse l'intégralité du système, y compris les fichiers de code source locaux, les scripts d'installation et les journaux de modifications. Il peut également détecter certains indicateurs potentiellement suspects lors d'un processus de compilation.
L'outil recherche par exemple les fichiers binaires inclus dans les sources, les commandes potentiellement dangereuses exécutées après l'installation, les références non sécurisées à des fichiers locaux et certaines substitutions de commandes de niveau supérieur susceptibles d'être exécutées au cours du processus.
Shelly 3.1 détecte également les cas potentiels de falsification de noms.
La sécurité ne se limite pas à la vérification des commandes susceptibles d'être exécutées lors de la compilation. Shelly 3.1 intègre également des contrôles conçus pour détecter certains cas d' homoglyphes et de caractères visuellement similaires.
Ce type de technique peut servir à faire passer un nom pour légitime alors qu'il contient en réalité des caractères différents. Dans le contexte des paquets Arch Linux, la détection de ces anomalies permet de réduire le risque de confusion entre deux paquets, en raison d'une différence difficilement perceptible visuellement.
L'intégration de ces vérifications est d'autant plus pertinente dans un écosystème comme l'AUR, où les paquets sont maintenus par la communauté et où les PKGBUILD peuvent effectuer des actions lors de la compilation ou de l'installation. L'objectif n'est pas de faire de Shelly une garantie absolue de sécurité, mais de fournir aux utilisateurs davantage d'informations avant d'exécuter du code provenant de sources qu'ils devraient examiner.
Dépôts, AUR, Flatpak et AppImage depuis une interface unique
Le gestionnaire de paquets permet d'installer et de supprimer des paquets provenant des dépôts officiels et de l' AUR , et prend également en charge d'autres formats tels que Flatpak et AppImage. Il peut aussi fonctionner avec des paquets locaux, ce qui facilite l'utilisation de fichiers déjà stockés sur l'ordinateur de l'utilisateur.
Cette intégration est particulièrement intéressante pour ceux qui migrent vers Arch Linux ou une distribution dérivée depuis d'autres systèmes d'exploitation. Au lieu d'avoir à apprendre immédiatement différents outils pour chaque source logicielle, Shelly offre une interface graphique unifiée.
Les utilisateurs avancés disposent toujours de pacman et des outils traditionnels, bien entendu. L'objectif de Shelly n'est pas de supprimer la ligne de commande, mais de proposer une alternative graphique moderne permettant d'effectuer de nombreuses tâches courantes sans ouvrir de terminal.
La sécurité de l'AUR revêt une importance particulière
La nouvelle capacité d'analyser les fichiers PKGBUILD est particulièrement pertinente compte tenu des problèmes de sécurité susceptibles d'affecter l' AUR . Contrairement aux dépôts officiels d'Arch Linux, les paquets AUR sont maintenus par la communauté et leurs méthodes de compilation doivent être utilisées avec précaution.
Un fichier PKGBUILD n'est pas simplement une liste de fichiers à télécharger. Il peut contenir des instructions permettant d'exécuter des commandes lors des différentes phases du processus de compilation et d'installation. Par conséquent, il est essentiel de vérifier son contenu avant de l'exécuter afin d'assurer une sécurité optimale.
Shelly 3.1 vise précisément à faciliter cet examen grâce à des contrôles automatisés. Les avertissements ne remplacent pas l'analyse humaine et ne garantissent pas la sécurité d'un colis, mais ils peuvent attirer l'attention sur des comportements qui nécessitent un examen plus approfondi avant de poursuivre.
Shelly 3.1 renforce sa position dans CachyOS et Arch Linux
Avec la version 3.1, Shelly franchit une nouvelle étape vers son objectif de devenir un outil complet de gestion de logiciels pour Arch Linux. La possibilité de générer des paquets compatibles avec pacman à partir de sa propre infrastructure, ainsi que de nouveaux contrôles de sécurité, étendent considérablement ses fonctionnalités.
Le projet prenait déjà en charge les dépôts officiels, l'AUR, Flatpak, AppImage et les paquets locaux, et permettait également aux utilisateurs de consulter les informations des paquets et de gérer les groupes. Il ajoute désormais une fonctionnalité traditionnellement réservée aux outils en ligne de commande et aux processus plus manuels.
Pour les utilisateurs de CachyOS, où Shelly est déjà le gestionnaire graphique par défaut, cette mise à jour représente une évolution particulièrement importante. Pour les autres utilisateurs de distributions basées sur Arch, elle offre une alternative moderne supplémentaire pour la gestion des logiciels, sans sacrifier les fonctionnalités de l'écosystème de paquets d'Arch Linux.