ブログ ·

Opensidian 0.9.3 をリリースしました

Opensidian 0.9.3 をリリースしました。こちらからダウンロードし、署名付きの SHA256SUMS で ダウンロードを検証してください。

0.9.2 をベースにしたバグ修正リリースです。ダウンロードは Linux x86_64 向けの同じ 5 種類のパッケージ (AppImage 2 種、Flatpak、RPM、DEB)で、新しい形式はありません。

初の来歴証明付きリリース

0.9.3 は、ビルドの来歴証明(attestation)が付いた最初の Opensidian リリースです。すべてのファイルに GitHub のアーティファクト証明(SLSA プロベナンス)があり、このリポジトリの release.yml ワークフローが GitHub ホストのランナー上でビルドしたことを示します。そのため、ダウンロードが SHA256SUMS と一致するか だけでなく、どこでビルドされたかも確認できます。リリースは GitHub ホストの Ubuntu ランナーでビルドされる ようになり、サードパーティのアクションはすべてコミット SHA で固定され、CI では何も署名しません。 SHA256SUMS は引き続き 0.9.2 と同じ鍵で GPG 署名されています。0.9.2 以前のリリースには来歴証明はありません。

Wayland でのウィンドウのドラッグ

修正

ダウンロードの検証

ファイルを 1 つのディレクトリにダウンロードし、署名、チェックサム、ビルドの来歴を確認します。

gpg --keyserver hkps://keys.openpgp.org --recv-keys A6E69ED6BC4779F3281721484CC1AFDE15B64EA3
gpg --export A6E69ED6BC4779F3281721484CC1AFDE15B64EA3 > opensidian.gpg
gpgv --keyring ./opensidian.gpg SHA256SUMS.asc SHA256SUMS
sha256sum -c --ignore-missing SHA256SUMS
gh attestation verify opensidian-0.9.3-x86_64.rpm -R jpzk/opensidian \
  --signer-workflow jpzk/opensidian/.github/workflows/release.yml \
  --deny-self-hosted-runners

rpm 6 での RPM のインストール

RPM 自体は(0.9.2 と同じく)GPG 署名されておらず、Fedora 44 などの rpm 6 は署名のないパッケージを既定で 拒否します。まず上の手順でファイルを検証してから、 sudo dnf install webkit2gtk4.1 && sudo rpm -Uvh --nosignature ./opensidian-0.9.3-x86_64.rpm でインストールしてください。署名付きの RPM は次のリリースで提供する予定です。

完全な変更履歴: GitHub リリース v0.9.3。