Codebyr OS

Sécurisé par conception. Simple par conviction.

🌐 Site officiel : os.codebyr.dev

Codebyr OS est une distribution Linux basée sur Debian qui apporte la sécurité par compartimentation — l'idée fondatrice de Qubes OS — à tous les utilisateurs, sans matériel d'exception ni expertise technique. En français d'abord, gratuite, open source (GPL-3.0).

État du projet : ISO live installable et fonctionnelle — construite, testée et installée sur machine réelle. Voir la feuille de route.

Où en est le projet — 16 octobre 2026

Version publiée : 1.21.1 (voir le CHANGELOG). La 1.16.2 a fermé une élévation de privilèges du service des comptes d'Espaces, présente depuis la 1.15.0 ; la 1.16.3 remet en marche le bouclier anti-hameçonnage, muet depuis la 1.6.0, et lui fait reconnaître les adresses déguisées par d'autres alphabets ; la 1.16.4 fait du filtre d'appels système du Blindage une liste d'autorisation ; la 1.16.5 rend leur aperçu aux images dans Fichiers, et la 1.16.6 permet d'ajouter un programme téléchargé — AppImage comprise — au menu d'un Espace à compte séparé. La 1.16.7 protège le lanceur de l'écran de bienvenue, modifiable par tous les comptes depuis la 1.13.0, et la 1.16.8 ajoute deux protections du noyau au démarrage (détail dans SECURITY.md). Les ISO 1.16.8, 1.18.2 et 1.21.0 sont reproductibles : chacun peut les reconstruire depuis le code publié et retrouver la même empreinte (voir « Reconstruire l'ISO vous-même » plus bas). Depuis la 1.18.2, l'ISO démarre aussi en anglais (boot menu → « Live session (English) »). Les 1.17.0 et 1.17.1 rangent le cœur du système en modules ; la 1.17.1 fait aussi revenir les fichiers d'un Espace quand on lui retire « Compte séparé », comme promis. La 1.17.2 ferme une élévation de privilèges par le remplissage du dossier « Modèles », présente depuis la 1.10.0, et donne à Codebyr son visage dès l'allumage : avatar des comptes, écran de démarrage, ouverture de session. La 1.18.0 parle anglais : tout ce que Codebyr affiche sur une machine installée existe aussi en anglais (Codebyr now speaks English: choose English in Settings → Region & Language) ; la 1.18.1 y ajoute l'alerte du bouclier anti-hameçonnage, la 1.18.2 l'écran de démarrage. La 1.19.0 démarre sans couture : du logo du fabricant à l'écran de connexion, plus de menu ni de texte technique — le menu de GRUB s'ouvre en tapotant F4 (Fn + F4 sur la plupart des portables) dès le logo du fabricant. La 1.19.1 ferme deux failles relevées par une analyse externe du code : une notification pouvait se signer d'un autre Espace, et le compte invité modifier le réseau de la machine (l'état de chaque point est tenu dans SECURITY.md) ; la 1.20.0 en traite trois autres : le bouclier anti-hameçonnage (1.5) ne peut plus être neutralisé par la page qu'il dénonce, un Espace ne joint plus le serveur X11 du bureau, et le Blindage ne laisse plus ouvrir que les connexions utiles. La 1.21.0 corrige un défaut présent depuis la 1.0 : les mises à jour de Debian, sécurité comprise, ne s'installaient pas toutes seules — elles le font désormais. Elle montre aussi la couleur des Espaces dans Alt+Tab, et retire de Firefox le contenu sponsorisé. La 1.21.1 apporte le dock : toujours visible en bas de l'écran, avec une pastille par fenêtre à la couleur de son Espace. Le lot de sécurité de septembre est publié (frontières des fichiers, restauration non destructive, aucun repli sans isolation, réseau restreint par namespace, filtre d'appels système).

Un Espace peut tourner sous son propre compte Unix — réglage « Compte séparé, par Espace », avec ses applications Flatpak et la carte graphique depuis la 1.16.0. La 1.16.1 en fait le défaut de chaque Espace — sauf pour l'invité, dont les Espaces s'effacent avec sa session — et blinde aussi Personnel et Travail. La carte du projet, avec ce qui reste ouvert, est dans docs/chantiers.md.

Le concept : les Espaces

Là où Qubes parle de « qubes », de « domaines » et de « VM templates », Codebyr OS parle d'Espaces : des compartiments isolés, avec des noms humains et une couleur propre. Chaque fenêtre porte un liseré à la couleur de son Espace — l'utilisateur n'a jamais besoin de savoir ce qu'est un conteneur : la couleur dit tout.

Espace	Couleur	Usage
Personnel	Azur	Vie quotidienne, fichiers personnels
Travail	Améthyste	Documents et outils professionnels
Banque	Émeraude	Uniquement VOS sites financiers, rien d'autre n'y entre
Navigation	Ambre	Le web ordinaire, isolé du reste
Jetable	Braise	Éphémère — s'autodétruit à la fermeture

Et vous pouvez créer vos propres Espaces persistants (nom + couleur) en deux clics depuis le menu du Sceau.

Ce qui fonctionne aujourd'hui

• Espaces isolés : bac à sable bubblewrap, dossier personnel séparé, bus D-Bus privé (celui de la session hôte n'entre jamais dans un Espace — c'est ce qui empêche d'en sortir), liserés colorés par fenêtre (extension GNOME Shell dédiée).
• Un compte Unix par Espace (1.15.0, complété en 1.16.0, par défaut depuis la 1.16.1) : un Espace tourne sous son propre compte système. Ses fichiers lui appartiennent, et le noyau vérifie cette frontière à chaque ouverture — ce qui s'échappe du bac à sable ne retrouve alors que cet Espace, ni les autres, ni votre dossier personnel. Ses données le suivent à la première ouverture et reviennent si vous désactivez le réglage. Les applications Flatpak s'y ouvrent, avec leurs propres fenêtres de fichiers, et la carte graphique y fonctionne. Désactivable Espace par Espace dans « Configuration Codebyr » ; jamais pour l'invité. Les limites connues — dont « Ajouter une application », pas encore possible sous ce mode — sont dans SECURITY.md.
• Le Blindage : niveau d'isolation renforcé par Espace — espace de noms utilisateur, zéro privilège (--cap-drop ALL), session neuve, filtre d'appels système, plafonds mémoire/processus (anti fork-bomb). Actif par défaut sur Banque, Navigation et Jetable — et, depuis la 1.16.1, sur Personnel et Travail ; Banque et Jetable n'ont en plus aucun accès direct à la carte graphique.
• Jetable automatique : menu du Sceau → « Ouvrir un lien en Jetable », ou codebyr-jetable <lien|fichier> (également disponible au clic droit dans Fichiers). Une pièce jointe douteuse s'ouvre dans une bulle blindée et sans réseau (namespace réseau isolé : le piège ne peut rien exfiltrer) ; un lien douteux s'ouvre dans une bulle blindée qui s'autodétruit — le réseau y reste ouvert, il est nécessaire pour charger la page ; le micro, lui, y est coupé (1.16.1).
• Bouclier anti-hameçonnage : l'Espace Banque n'atteint QUE vos domaines bancaires. Il n'a aucune interface réseau à lui et ne sort que par un filtre à liste blanche : un programme qui tenterait de passer à côté ne trouve aucun réseau (voir SECURITY.md pour ce qui reste possible). Dans les autres Espaces, une extension Firefox alerte si un site imite l'un de vos sites protégés. À configurer au premier usage : tant que vous n'avez pas déclaré votre banque dans « Configuration Codebyr », l'Espace Banque n'ouvre aucun site (il échoue fermé) et le bouclier n'a rien à surveiller.
• Réseau par Espace : libre, liste blanche (imposée à tout l'Espace par un namespace réseau, depuis la 1.11.0), ou coupure totale (namespace réseau isolé, comme le Jetable fichier).

Codebyr OS en images

Honnêteté sur le modèle de sécurité

Codebyr OS réduit drastiquement les dégâts d'un piège (fichier vérolé, site frauduleux, téléchargement douteux) en l'enfermant dans un compartiment jetable ou blindé. C'est une protection réelle, mais ce n'est pas Qubes : l'isolation repose sur les espaces de noms du noyau Linux (bubblewrap), pas sur des machines virtuelles matérielles. Un exploit noyau peut théoriquement en sortir — c'est une limite assumée du modèle.

La détection des capacités est transparente : codebyr-space isolation vous dit exactement ce que votre machine sait faire.

Vulnérabilité à signaler ? Voir SECURITY.md.

Construire l'ISO

Prérequis : un système Debian/Ubuntu (ou WSL2) avec live-build.

# 1) Environnement (une fois) — voir live-build/scripts/provision-wsl.sh pour WSL2
sudo apt install live-build rsync librsvg2-bin python3

# 2) Construction (root requis, filesystem Linux natif requis)
export CODEBYR_REPO=/chemin/vers/ce/depot
sudo -E bash live-build/scripts/build.sh
# → dist/codebyr-os-<version>-<date>-amd64.iso

Le build construit le commit courant (les modifications non commitées n'y sont pas ; CODEBYR_NON_COMMITE=1 les prend, pour un essai), recopie la configuration vers /var/tmp/codebyr-build (jamais de build sur un montage Windows/9p), installe Debian trixie tel qu'il était la veille du commit (snapshot.debian.org), applique les hooks de branding/durcissement, et rapatrie l'ISO dans dist/. Depuis la 1.16.8, deux constructions du même commit donnent la même ISO, octet pour octet — voir ci-dessous.

Configuration requise

Codebyr fait tourner plusieurs Espaces isolés (chacun avec ses applications) : la RAM est donc le facteur le plus important.

	Minimum (usage léger)	Recommandé (confort)
Processeur	64 bits (x86-64), 2 cœurs	4 cœurs récents
RAM	4 Go (1-2 Espaces à la fois)	8 Go (plusieurs Espaces)
Disque	20 Go libres	30 Go+, SSD conseillé
Carte graphique	Intel/AMD/NVIDIA avec OpenGL (depuis ~2012)	idem
Démarrage	UEFI ou BIOS	UEFI
Installation	une clé USB de 2 Go+	idem

Notes :

• Architecture x86-64 uniquement pour l'instant (pas d'ARM / Raspberry Pi / Apple Silicon).
• La virtualisation matérielle (VT-x/AMD-V) n'est pas requise — l'isolation repose sur le noyau.
• Codebyr redonne vie à un portable modeste (un laptop de 2015 avec 8 Go tourne très bien), là où Qubes exige 16 Go et du matériel haut de gamme.

Essayer / installer

1. Écrivez l'ISO sur une clé USB (Rufus, balenaEtcher, dd).
2. Démarrez dessus : session live immédiate (aucune installation forcée).
3. Pour installer : bouton « Installer Codebyr OS sur ce disque » à la fin du tour de bienvenue, ou l'application « Installer Codebyr OS ».

Vérifier votre téléchargement (recommandé)

Chaque version est signée avec la clé GPG du projet. Vérifiez l'intégrité ET l'authenticité de votre ISO :

codebyr-signing-key.asc est joint à chaque release, à côté de l'ISO et des sommes de contrôle : les trois fichiers se téléchargent ensemble.

# 1) Importer la clé publique Codebyr (une seule fois)
gpg --import codebyr-signing-key.asc

# 2) Vérifier la signature du fichier d'empreintes
gpg --verify SHA256SUMS.asc SHA256SUMS
#   → doit afficher : Good signature from "Codebyr OS ... "

# 3) Vérifier l'empreinte de l'ISO
sha256sum -c SHA256SUMS
#   → doit afficher : ...amd64.iso : Réussi

Si la signature n'est pas « Good » / « valide », n'utilisez pas l'ISO.

Deux empreintes, et c'est normal

Ancre de confiance — la clé maîtresse, hors ligne, jamais sur une machine connectée :

E6FB 6616 EC58 E15F 40DA  876C B1E8 C803 CE59 6E68

Ce que gpg affichera — la sous-clé de signature, certifiée par la précédente, et celle qui signe réellement les versions :

49DF 7B88 5583 0CCD 3476  6334 5884 F50B 8858 1C19

Voir une empreinte différente de l'ancre n'est donc pas un signe d'anomalie : c'est le fonctionnement normal d'une clé maîtresse gardée hors ligne. Une « Good signature » doit aussi provenir de la clé maîtresse dont vous avez vérifié l'empreinte complète par une source indépendante. Une signature valide faite par une autre clé ne prouve pas l'origine Codebyr. La sous-clé change quand elle expire ; l'ancre, elle, ne bouge pas — c'est celle-là qu'il faut comparer entre plusieurs sources.

Où retrouver la clé si un fichier manque — deux hébergements indépendants, et les comparer vaut mieux que d'en croire un seul :

curl -O https://raw.githubusercontent.com/Romtouf/codebyr-os/main/codebyr-signing-key.asc

L'empreinte de l'ancre est également affichée sur https://os.codebyr.dev.

Reconstruire l'ISO vous-même (depuis la 1.16.8)

La signature prouve que l'ISO vient du mainteneur ; elle ne prouve pas qu'elle sort du code publié. Pour cela, l'ISO est reproductible : reconstruite depuis le commit d'une version, elle est identique octet pour octet à celle de la release, quelle que soit la machine. Deux façons de le vérifier :

• Sans rien installer : copiez le dépôt sur GitHub (Fork), puis dans l'onglet Actions → « Construire l'ISO » → Run workflow, choisissez l'étiquette de la version (v1.21.0…) et collez dans « SHA256 attendu » l'empreinte du fichier SHA256SUMS de la release. La construction (environ 20 minutes) échoue si l'image obtenue diffère.

• Sur une machine Debian 13 :

  git clone https://github.com/Romtouf/codebyr-os && cd codebyr-os
  git checkout v1.21.0
  sudo apt install live-build rsync librsvg2-bin python3
  sudo CODEBYR_REPO="$PWD" bash live-build/scripts/build.sh
  sha256sum dist/*.iso      # → la même empreinte que SHA256SUMS
  

Il faut un clone git (pas une archive) : la date de l'image et l'état de Debian utilisé se déduisent du commit.

Structure du dépôt

codebyros/
├── README.md · LICENSE · CONTRIBUTING.md · SECURITY.md
├── docs/architecture.md          Architecture technique
├── branding/                     Charte graphique, logos, fonds d'écran
└── live-build/
    ├── auto/config               Configuration live-build (Debian trixie)
    ├── scripts/build.sh          Construction de l'ISO
    ├── config/package-lists/     Paquets embarqués
    ├── config/hooks/normal/      Branding, durcissement, session live, installeur…
    └── config/includes.chroot_after_packages/
        ├── usr/bin/codebyr-*     Les outils Codebyr (Python/sh)
        ├── usr/share/gnome-shell/extensions/[email protected]/
        │                         Extension GNOME (menu Sceau, liserés, Espaces)
        ├── usr/share/codebyr/antiphishing/   Bouclier navigateur
        ├── etc/codebyr/espaces.json          Registre des Espaces par défaut
        └── etc/calamares/        Installeur habillé Codebyr

Feuille de route

• Phase 0 — Identité : branding complet, charte, architecture
• Phase 1 — ISO de base : Debian trixie + GNOME, durcie, débrandée, AZERTY
• Phase 2 — Les Espaces : isolation bubblewrap, liserés, menu du Sceau
• Phase 3 — Les 7 fonctionnalités : Jetable, Bouclier, Réseau par Espace, Portable, Retour dans le temps, Assistant, Mode invité — plus le Blindage
• Phase 4 — Installeur : Calamares Codebyr, installation vérifiée sur machine réelle
• Phase 5 — Diffusion : ISO signées, canal de mise à jour apt, intégration continue des tests (qu'une publication ne peut plus contourner) et de l'ISO, site en ligne — reste surtout : des testeurs
• Phase 6 — Isolation par compte : un UID Unix par Espace, pour que la séparation reste vraie même si le bac à sable cède — livrée en 1.15.0 et 1.16.0 (applications Flatpak, carte graphique) ; réglage par défaut de chaque Espace depuis la 1.16.1

Le détail de tout ce qui reste — sécurité, produit, dette technique, et ce qui est volontairement hors périmètre — est dans docs/chantiers.md. Ce que chaque version apporte est dans CHANGELOG.md.

Contribuer

Les contributions sont bienvenues — voir CONTRIBUTING.md (environnement de build, conventions, protocole de test).

Licence

GPL-3.0 — © Contributeurs Codebyr OS. Basé sur Debian ; installeur Calamares.