Блог ·

Вышел Opensidian 0.9.3

Вышел Opensidian 0.9.3: скачайте его здесь и проверьте загрузку по подписанному SHA256SUMS.

Это выпуск с исправлениями поверх 0.9.2. Загрузки — те же пять пакетов для Linux x86_64 (два AppImage, Flatpak, RPM, DEB); новых форматов нет.

Первый выпуск с аттестацией

0.9.3 — первый выпуск Opensidian с аттестацией происхождения сборки. У каждого файла есть аттестация артефакта GitHub (SLSA provenance), которая подтверждает, что его собрал workflow release.yml этого репозитория на раннерах, размещённых GitHub. Так можно проверить не только то, что загрузка совпадает с SHA256SUMS, но и откуда она взялась. Выпуски теперь собираются на размещённых GitHub раннерах Ubuntu, каждое стороннее действие закреплено за SHA коммита, а в CI ничего не подписывается. SHA256SUMS по-прежнему подписан GPG тем же ключом, что и в 0.9.2. У 0.9.2 и более ранних выпусков аттестаций нет.

Перетаскивание окна в Wayland

Исправлено

Проверьте загрузку

Скачайте файлы в один каталог, затем проверьте подпись, контрольные суммы и происхождение сборки:

gpg --keyserver hkps://keys.openpgp.org --recv-keys A6E69ED6BC4779F3281721484CC1AFDE15B64EA3
gpg --export A6E69ED6BC4779F3281721484CC1AFDE15B64EA3 > opensidian.gpg
gpgv --keyring ./opensidian.gpg SHA256SUMS.asc SHA256SUMS
sha256sum -c --ignore-missing SHA256SUMS
gh attestation verify opensidian-0.9.3-x86_64.rpm -R jpzk/opensidian \
  --signer-workflow jpzk/opensidian/.github/workflows/release.yml \
  --deny-self-hosted-runners

Установка RPM с rpm 6

Сам RPM не подписан GPG (как и в 0.9.2), а rpm 6, например в Fedora 44, по умолчанию отклоняет неподписанные пакеты. Сначала проверьте файл, как описано выше, затем установите его командой sudo dnf install webkit2gtk4.1 && sudo rpm -Uvh --nosignature ./opensidian-0.9.3-x86_64.rpm. Подписанный RPM запланирован на следующий выпуск.

Полный список изменений: GitHub release v0.9.3.