A project during Hack Week 25 aims to address community feedback by bringing popular configuration features from YaST into Cockpit and System Roles, which is a step toward bridging the gap left by YaST’s deprecation in openSUSE Leap 16.0.

The initiative, titled Bring to Cockpit + System Roles capabilities from YAST, responds directly to some users anxiety about the loss of the familiar desktop and system management tools. Cockpit was introduced in Leap 16.0 as part of a broader shift toward modern, automation-friendly infrastructure.

Many long-time users have rightly pointed out that critical YaST functionality remains missing, but the next chapter of Leap requires a modern successor to YaST without reinventing the wheel alone; these advancements can grow stronger when shared and improved across communities.

The efforts for the Hack Week project, are set to begin Dec. 1. People can continue to work on the list of implementations should they choose to advance the features.

Several configuration and installation capabilities that were available in the deprecated YaST, which has long been one of the project’s hallmark tools, have yet to make it into the new Cockpit release. Significant research and careful consideration went into the transition away from YaST. Despite its deep ties to the project’s brand identity, teams thoroughly evaluated which features and modules were essential. These gaps for Cockpit are still being filled through community contributions and ongoing integration with System Roles.

The project’s goal is to implement service configuration in System Roles and then layer a Cockpit interface on top to give administrators direct control. In cases where an existing resource is already configured, specific Cockpit modules to handle the interaction are expected.

Should people choose to assist in the efforts, a spreadsheet detailing the missing features and suggested implementations has been published for contributors. Contributors can track progress and collaborate via the project’s Hack Week page.

Hack Week, which began in 2007, has become a cornerstone of the project’s open-source culture. Hack Week has produced tools that are now integral to the openSUSE ecosystem, such as openQA, Weblate and Aeon Desktop. Hack Week has also seeded projects that later grew into widely used products; the origins of ownCloud and its fork Nextcloud derive from a Hack Week project started more than a decade ago.

For more information, visit hackweek.opensuse.org.

Me alegra compartir con todos vosotros la primera actualización de Plasma 6.5, iniciando así una serie de revisión de software que le dotará de más estabilidad, mejores traducción y resolución de errores. Estas actualizaciones son 100% recomendables y casi obligatorias para cualquier usuario ya que lo único que hacen es mejorar la versión sin comprometer sus funcionalidades.

Primera actualización de Plasma 6.5

No existe Software creado por la humanidad que no contenga errores. Es un hecho incontestable y cuya única solución son las actualizaciones. Es por ello que en el ciclo de desarrollo del software creado por la Comunidad KDE se incluye siempre las fechas de las mismas siguiendo una especie de serie de Fibonacci.

Así que me congratula en presentar que hoy martes 28 de octubre de 2025, una semana después de liberar el código de Plasma 6.5 la Comunidad KDE presenta la primera actualización de errores.

Más información: KDE

Las novedades generales de Plasma 6.5

Aprovecho para realizar un listado de las novedades generales de Plasma 6.5:

• Cambio automático entre tema claro y oscuro
• Paneles desplazables para widgets y accesos
• Nuevo asistente de configuración inicial (KISS)
• Almacenamiento global de contraseñas Wi-Fi
• Mejoras de rendimiento en KWin al reproducir vídeo
• Configuración de diales en tabletas de dibujo
• Mejoras en la gestión de colores para monitores HDR
• Uso de la tecla Enter en las acciones de apagado del menú Kickoff
• Filtro de accesibilidad para escala de grises
• Ajustes visuales con bordes redondeados en menús

Más información: KDE

La entrada Primera actualización de Plasma 6.5 se publicó primero en KDE Blog.

The M8 has extensive USB audio and MIDI capabilities, but it cannot be a USB MIDI host. So you can control other devices through USB MIDI, but cannot sent to it over USB.

Control Surface & Pots for M8

Controlling things via USB devices has to be done through the old TRS (A) jacks. There’s two devices that can aid in that. I’ve used the RK06 which is very featureful, but in a very clumsy plastic case and USB micro cable that has a splitter for the HOST part and USB Power in. It also sometimes doesn’t reset properly when having multiple USB devices attached through a hub. The last bit is why I even bother with this setup.

The Dirtywave M8 has amazing support for the Novation Launchpad Pro MK3. Majority of peolpe hook it up directly to the M8 using the TRS MIDI cables. The Launchpad lacks any sort of pots or encoders though. Thus the need to fuss with USB dongles. What you need is to use the Launchpad Pro as a USB controller and shun at the reliable MIDI connection. The RK06 allows to combine multiple USB devices attached through an unpowered USB hub. Because I am flabbergasted how I did things here’s a schema that works.

If it doesn’t work, unplug the RK06 and turn LPPro off and on in the M8. I hate this setup but it is the only compact one that works (after some fiddling that you absolutely hate when doing a gig).

Intech Knot

The Hungarians behind the Grid USB controlles (with first class Linux support) have a USB>MIDI device called Knot. It has one great feature of a switch between TRS A/B for the non-standard devices.

It is way less fiddly than the RK06, uses nice aluminium housing and is sturdier. Hoewer it doesn’t seem to work with the Launchpad Pro via USB and it seems to be completely confused by a USB hub, so it’s not useful for my use case of multiple USB controllers.

Non-compact but Reliable

Novation came out with the Launch Control XL, which sadly replaced pots in the old one with encoders (absolute vs relative movement), but added midi in/ou/through with a MIDI mixer even. That way you can avoid USB altogether and get a reliable setup with control surfaces and encoders and sliders.

One day someone comes up with a compact midi capable pots to play along with Launchpad Pro ;) This post has been brought to you by an old man who forgets things.

Lynis es una herramienta de software libre con la que podrás auditar la seguridad de tu sistema GNU/Linux y otras derivadas de Unix como FreeBSD, Solaris o MacOS.

Hoy hechando un vistazo a mis feeds, me he encontrado con un artículo en inglés de SUSE, donde nos dan una serie de recomendaciones y guías para securizar nuestro sistema GNU/Linux.

El fortalecimiento de Linux es el proceso de reducir las vulnerabilidades, fortalecer las configuraciones y asegurarse de cumplir con los estándares de seguridad en los sistemas Linux. Con miles de organizaciones que confían en las soluciones empresariales de Linux para cargas de trabajo críticas, el uso de prácticas sólidas de fortalecimiento se ha vuelto esencial para protegerse contra las amenazas cibernéticas y mantener el cumplimiento normativo.

Está escrito por SUSE, pero se pueden extrapolar sus recomendaciones a cualquier sistema GNU/Linux:

• https://www.suse.com/c/linux-hardeningthe-complete-guide-to-securing-your-systems/

En dicho artículo además del conjunto de recomendaciones para fortalecer nuestro sistema GNU/Linux hablan sobre una herramienta que me ha llamado la atención llamada Lynis: Lynis – Herramienta de auditoría y endurecimiento de seguridad, para sistemas basados en UNIX.

Lynis es una herramienta publicada bajo licencia GPL v3.0, por lo que es software libre y además gratuito, ya que puedes descargarla y utilizarla. Primero veamos cómo se definen en su repositorio de GitHub:

Lynis es una herramienta de auditoría de seguridad para sistemas basados en UNIX como Linux, macOS, BSD y otros. Realiza un análisis de seguridad en profundidad y se ejecuta en el propio sistema. El objetivo principal es probar las defensas de seguridad y proporcionar consejos para un mayor fortalecimiento del sistema. También buscará información general del sistema, paquetes de software vulnerables y posibles problemas de configuración.

Lynis fue utilizado comúnmente por administradores de sistemas y auditores para evaluar las defensas de seguridad de sus sistemas. Además del «equipo azul», hoy en día los probadores de penetración también tienen a Lynis en su caja de herramientas.

La herramienta está orientada a personal técnico como: Administradores de sistemas, Auditores Oficiales de seguridad, Probadores de penetración de sistemas, Profesionales de la seguridad, etc.

Digamos que es una herramienta profesional pero que podemos utilizarla en nuestro sistema GNU/Linux como guía, pero teniendo en cuenta que hay que tener conocimientos profundos del sistema y valorar si realmente nuestro sistema GNU/Linux merece llevar a cabo las sugerencias en cuanto a seguridad que nos ofrece la herramienta Lynis.

En GNU/Linux somos de naturaleza curiosa y nos gusta ver cosas nuevas, así que «¿¿a quien no le va a gustar ejecutar esta herramienta de seguridad???» (punto para ti si reconoces el vídeo parafraseado).

En mi caso la quise probar pero sin instalar nada. Lynis está en los repositorios de openSUSE y de muchas otras distribuciones, así que desde tu gestor de software favorito la puedes buscar e instalar.

En mi caso, como era algo meramente informativo y puntual no quise instalarlo, así que me descargué el archivo comprimido y después lo descomprimí. A día de hoy la versión actual es 3.6.1:

wget https://cisofy.com/files/lynis-3.1.6.tar.gz     
tar -zxvf lynis-3.1.6.tar.gz

Nos descomprime todo en un archivo lynis, entramos en él y ejecutamos la auditoría que queramos.

En mi caso quería algo rápido para ver qué aspecto tiene la herramienta y qué resultados me ofrecía. Así que ejecuté un:

 sudo ./lynis audit system --quick 

Después de introducir la contraseña y de aceptar con ENTER la advertencia que nos hace la herramiente Lynis, comienza el escaneado rápido de nuestro sistema GNU/Linux. Y en él nos va mostrando diferentes mensajes.

Aquí es donde digo que hay que tener un conocimiento profundo del sistema. Nos saldrán varias advertencias, lo que nos puede llevar a tratar de corregirlas sin saber cómo y podremos romper el sistema si actuamos a lo loco.

Más adelante, la propia herramienta Lynis nos ofrece una serie de sugerencias para aumentar la seguridad de distintas partes del sistema. Aquí dejo a tu consideración si realmente merece la pena llevar a cabo las recomendaciones.

También al final del escaneo realizado nos mostrará un par de rutas donde guarda los registros o logs obtenidos, para una revisión más detallada o para enviarlo a un profesional, etc…

Lynis puede ser una buena herramienta si estás estudiando sobre estos temas o si ya trabajas con temas relacionados con la administración se sistemas o seguridad y quieres repasar si tus sistemas tienen puntos débiles que haya que solucionar o mejorar.

Tiene muy buena documentación y al ser software libre, tiene disponibles complementos que pueden expandir sus posibilidades. ¿Te animas a probarlo?

Enlaces de interés

• https://www.suse.com/c/linux-hardeningthe-complete-guide-to-securing-your-systems/
• https://cisofy.com/
• https://cisofy.com/documentation/lynis/get-started/
• https://github.com/CISOfy/Lynis

Es increíble el trabajo de promoción que está realizando Nate en su blog, desde hace más del tiempo que puedo recordar, ha sido replicado en ocasiones por Carl Schwan hablando de aplicaciones. Igual que Nate, se trata de un resumen de las novedades más destacadas, pero no en forma de telegrama, sino de artículo completo. Dado que en la actualidad tenemos herramientas que nos facilitan la traducción y la edición voy a intentar hacer algo que es simple pero requiere constancia: promocionar dichos artículos facilitando la información a la comunidad hispana que no domina el inglés. Al mismo tiempo hará que yo esté al día y que me entere bien de todo. Bienvenidos pues alartículo de la serie «Nuevas funcionalidades de Krita – Esta semana en KDE Apps». Espero que os guste y que os ponga los dientes largos viendo lo que nos espera.

Nuevas funcionalidades de Krita – Esta semana en KDE Apps

Nota: artículo original en Blogs KDE. Traducción realizada utilizando Perplexity. Esta entrada está llena de novedades en las aplicaciones de la Comunidad KDE. Mis comentarios están entre corchetes.

¡Bienvenido a una nueva edición de “Esta semana en KDE Apps”! Cada semana (más o menos) cubrimos todo lo posible de lo que está sucediendo en el mundo de las aplicaciones KDE.
Volviendo a lo más reciente en el panorama de las apps de KDE, ¡vamos a descubrir las novedades!

Aplicaciones de viaje

El fin de semana pasado, algunos de los desarrolladores de Itinerary y KTrip estuvieron en Viena para la primera edición de la Open Transport Community Conference, donde se llevaron a cabo muchas discusiones relevantes para Itinerary y Transitus.​

KDE Itinerary Asistente de viaje digital

• Jonah Brüchert simplificó la selección de trayecto moviendo la selección del modo de transporte a una página aparte (25.12.0 – enlace) y preguntando por un grupo de viaje después de seleccionar el trayecto (25.12.0 – enlace).
• Jonah también recuperó la acción de importación en la página de lista de grupos de viaje (25.12.0 – enlace).
• Volker Krause añadió información de altitud en el mapa de estado en vivo cuando está disponible (25.12.0 – enlace).
• David Pilarčík añadió 10 nuevos extractores y mejoró algunos existentes (25.12.0 – enlace).
• Joshua Goins hizo que el extractor de United sea más resistente al procesar billetes para varios pasajeros (25.12.0 – enlace).​

PIM

Volker Krause y Albert Astals Cid solucionaron algunos problemas de seguridad detectados por las nuevas pruebas OSS-Fuzz en KMime (25.12.0 – enlace 1 y enlace 2).​

Aplicaciones del sistema

Dolphin: Gestiona tus archivos. Marco Martin eliminó algunas animaciones innecesarias en Dolphin (25.12.0 – enlace 1 y enlace 2)

Aplicaciones del sistema

Plan Gestión de proyectos . miko53 migró Calligra Plan a Qt6 (enlace).

Utilidades

KAIChat Chat de IA
Laurent Montel lanzó una nueva versión de KAIChat. Esta versión añade soporte para herramientas, permite descargar Ollama en Windows y macOS, y agrega algunas opciones de configuración a ciertos complementos.

Kate Editor avanzado de texto
Waqar Ahmed habilitó bracketed paste al enviar texto al terminal mediante una tubería (enlace).

KRegexpEditor
Matthias Mailänder corrigió algunos elementos de la interfaz de usuario al usar KRegexpEditor en modo oscuro (enlace).

Aplicaciones creativas

Krita Pintura digital y libertad creativa

• Carsten Hartenfels añadió un modo de mezcla “Marcador” en Krita, que funciona como “Oscurecer alfa” pero respeta correctamente las banderas de canal (por ejemplo, respeta el bloqueo de alfa y hereda alfa) e interpola los colores sin artefactos. Cuando se utiliza en un pincel en modo acumulativo, solo aumenta la opacidad hasta la opacidad prevista para el trazo, sin acumular lo que hay en la capa, mientras los colores se interpolan. Funciona como la herramienta marcador de Paint Tool SAI, de ahí su nombre (enlace).

• Wolthera van Hövell mejoró el soporte para cargar y guardar archivos PSD, y ahora se admite texto, formas y guías (enlace).
• Pavel Shlop añadió la posibilidad de editar los iconos de las acciones de la barra de herramientas desde el editor de barras de herramientas (enlace).

Kdenlive Editor de vídeo
Jean-Baptiste Mardelle mejoró la vista de audio en el monitor de clips (enlace).

… Y todo lo demás

Este blog solo cubre la punta del iceberg. Descubre más en el blog de Nate sobre Plasma y su serie This Week in Plasma, donde detalla las novedades del entorno de escritorio Plasma de KDE. Para información sin filtrar, visita KDE’s Planet.

Participa

La organización KDE se ha vuelto importante a nivel mundial, y tu tiempo y contribuciones nos han ayudado a llegar hasta aquí. A medida que crecemos, necesitaremos tu apoyo para que KDE sea sostenible.

Puedes ayudar a KDE siendo un miembro activo de la comunidad y participando. Cada colaborador hace una gran diferencia en KDE: no eres un número ni una pieza más en una máquina. ¡Ni siquiera tienes que ser programador! Hay muchas cosas que puedes hacer: ayudar a encontrar y confirmar errores, e incluso quizás solucionarlos; contribuir con diseños para fondos de pantalla, páginas web, iconos e interfaces de aplicaciones; traducir mensajes y elementos de menús a tu idioma; promover KDE en tu comunidad local; y muchas más cosas.

También puedes ayudarnos donando. Cualquier contribución monetaria, por pequeña que sea, nos ayudará a cubrir los costos operativos, salarios, gastos de viaje para los colaboradores y, en general, a que KDE pueda seguir llevando Software Libre al mundo.

Para que tu aplicación sea mencionada aquí, por favor contáctanos en invent o en Matrix.

La entrada Nuevas funcionalidades de Krita – Esta semana en KDE Apps se publicó primero en KDE Blog.

This is a roundup of articles from the openSUSE community listed on planet.opensuse.org.

The below featured highlights listed on the community’s blog feed aggregator are from October 18 to 26.

Recent Planet highlights includes an announcement from the Open Build Service Blog, a Halloween install party, Leap driving fleets, configuring a PDF viewer in Thunderbird and more.

Here is a summary and links for each post:

Distroless Containers – Nix Flakes vs Fedora

The latest blog as of publication was riemann.cc comparomg the approaches of Nix flakes and Fedora’s tooling for building distroless containers that highlights the differences in reproducibility, usability, and ecosystem integration.

Plasma 6.5 is here – This week in Plasma

KDE Blog announces the arrival of Plasma 6.5 with a solid mix of User Interface enhancements, performance tweaks and bug fixes, which includes a smoother drag-and-drop in the launcher, better multi-screen support and fixes for older AMD GPU cursors.

Linux Marathon Special (Podcast Linux #30)

KDE Blog revisits episode #30 of Podcast Linux, which was a special “Linux Marathon” live-broadcast with more than two hours of discussions featuring multiple Linux community contributors.

Halloween Install Party Valencia

KDE Blog shares details of a free-entry event on Oct. 31 in Valencia organised by GNU/Linux València. The event will offer GNU/Linux installations, free software help and a Super Tux Kart game-party theme to mark the end of Windows 10 support.

Leap Keeps Fleets on Track

openSUSE News highlights how an openSUSE Leap distribution can power mission-critical fleet-tracking systems and is handling real-time GPS data in Indonesia and the Philippines with PostgreSQL clustering and RabbitMQ to deliver reliability for vehicle-management operations.

More Mobile Settings: Keyboard & Wired Network

This blog by sebas outlines new settings modules in Plasma Mobile for keyboard layout/language switching and wired-network configuration. The focus is aimed at non-phone devices like embedded systems or occasional keyboard users.

Release Schedule for KDE Gear 25.12

The KDE Blog published the schedule for the KDE Gear 25.12 release cycle. The freeze and first beta is scheduled for Nov. 13, RC on Nov. 27 and the final release is scheduled for Dec. 11.

Thunderbird on KDE Plasma | Fine-Tuning File Dialogs

CubicleNate’s Techpad explains how to replace the default GTK file dialog in Mozilla Thunderbird with the native KFileDialog on KDE Plasma for a smoother user experience.

Relevant Upstream Package Version Information

The Open Build Service Blog announces enhancements to upstream version tracking as part of its “Foster Collaboration” beta program, which introduces interactive upstream-version links and detailed status labels.

Eighth Update of digiKam 8: Now Able to Import or Export Tag Hierarchies

KDE Blog announces that version 8.8 of digiKam adds support for importing/exporting tag hierarchies from/to text files, enhancing workflow consistency and cross-platform tag sharing.

Configuring an External PDF Viewer in Thunderbird on Linux

CubicleNate’s Techpad walks through how to set up Mozilla Thunderbird on Linux to use a native external PDF viewer instead of the built-in one for improved usability.

Plasma 6.5 Launched: Reaching the Turning Point

Plasma 6.5 represents a major maturity milestone for the desktop, according to the KDE Blog; it focuses on polishing existing features, refining usability, and adds thoughtful enhancements rather than a sweeping new redesign.

GNOME Tour in openSUSE and Welcome App

The blog on danigm.net outlines how the GNOME Tour fork for openSUSE provides a refreshed welcome experience. With custom pages, a donations section and links tailored for openSUSE, the welcome offers a modern replacement for the older Qt-based opensuse-welcome app.

UjiLliureX 2025, Continuing with LliureX as an Educational Innovation Tool

KDE Blog reports on the UjiLliureX 2025 event located in the province of Castellón. The event confirmed that the LliureX distro remains a key driver of innovation in education with aims to blend free-software teaching and institutional collaboration.

Xeno-canto: The Wiki of Bird Songs

Victorhck highlights xeno‑canto, where users around the world contribute and explore bird-song recordings from thousands of species. The site offers a rich resource for bird lovers, researchers and curious ears alike.

The Video You Need to Understand Linux

KDE Blog shares a video that explains the history and essentials of Linux. It goes into what it is, who created it, and why it matters for new users stepping into the world of free open-source software.

Installing openSUSE Leap 16.0 on a Dynabook XP (Secure Boot Enabled, Dual-Boot)

The Geeko Blog documents installing openSUSE Leap 16.0 on a Dynabook XP with Lunar Lake (Core Ultra 258V) under Secure Boot and dual-boot with Windows 10. The blog covers the offline ISO install, failing the standard installer due to Arc Xe2 GPU issue, and using nomodeset as a workaround.

Plasma 6.5 Is About to Arrive and KDE Turns 29 — Help Us Celebrate!

KDE Blog highlights the imminent release of Plasma 6.5 alongside the 29th anniversary of KDE. The blog encourages donations and community involvement as the project enters these new milestones.

View more blogs or learn to publish your own on planet.opensuse.org.

For several years, Bitnami offered many standard cloud component Container images and Kubernetes Helm charts, e.g. for PostgreSQL, MariaDB, Redis, or MongoDB. I think they were well maintained, used in many production setups, and used with Bitnami subscriptions by paying customers. Also governments used them (e.g. the German government with openDesk and BundesMessenger or the European Commission with SIMPL-Open). In 2019, Bitnami was bought by VM Ware.

In 2025, Bitnami revaluated their business case and decided to discontinue their current offering:

• https://community.broadcom.com/tanzu/blogs/beltran-rueda-borrego/2025/08/18/how-to-prepare-for-the-bitnami-changes-coming-soon,
• https://github.com/bitnami/containers/issues/83267

In a time, where many customers find their dependency with VM Ware already problematic, customers are sceptical towards a mere upgrade to the new Bitnami offering. So it comes to no surprise, that the Internet is full of discussions on alternatives. Before I present three of them, let me recall the challenges:

• supply chain security
• complexity due to diverging supply chain sources
• transparency
• compliance with NIS2 (Network and Information Security (NIS) Directive 2, adopted in November 2022 and in principle effective from 2025), example measures from nis2compliant.org:
  • robust vulnerability handling and disclosure practices
  • Secure supply chain interactions and mitigate risks related to suppliers or service providers, ensuring comprehensive security from end to end
  • incident detection, triage, and response to meet reporting obligations
• Cybersecurity Regulation for EU institutions, e.g.
  • supply chain security, including security-related aspects concerning the relationships between each Union entity and its direct suppliers or service providers
  • establishment of software supply chain security through criteria for secure software development and evaluation
• any other applicable national legislation

So what are the options to manage supply chain security with a view of reaching compliance? I believe it is impossible for an individual organisation to take care of the supply chain security directly for all their software in use. On top, any attempt would not be good use of (public) money. Hence, the goal must be to outsource and to seek synergies with organisations having similar or higher requirements.

CloudPirates.io

• https://github.com/CloudPirates-io/helm-charts

Some German products may switch from Bitnami to CloudPirates.io. CloudPirates is a company like Bitnami, but it is in Germany and hasn’t been bought by VM Ware (yet). Read their German blog post addressing the Bitnami policy change. I have checked their MariaDB helm chart. It relies on the community MariaDB container.

To ensure compliance when using their work, it may be necessary to introduce obligations for CloudPirates, which they may allow only against a fee.

In alternative would be RedHat Linux, that also offers all kinds of containers with maintenance against a fee.

Self-Made Distroless Containers

• https://www.move-online.de/k21-meldungen/containerhaertung-auf-opencode/ (in German)

Governments could build containers for their own ministries. This is what parts of the German government currently explore. But then, there are many ways how this can be organised.

• Upstream: The Government could just review the community images that everyone is using. However, the community may not be reactive enough or have diverging standards, etc.
• Downstream: The Government could maintain their own downstream fork and still collaborate with the community.

In both situations, you have to decide with which community. Consider for instance MariaDB. Relevant communities are:

• the MariaDB community
• the Debian community that packages (and patches) MariaDB
• the Opensuse community that packages (and patches) MariaDB
• the NixOS community that packages (and patches) MariaDB
• the Fedora/CentOS Stream/AlmaLinux community that packages (and patches MariaDB)

The US Government got a project on this at https://repo1.dso.mil/dsop, but it consists of many repos, so that I cannot grasp easily their general apporach. Their NodeJS (slim) image relies on Alpine sourced from their own mirror.

The German Government decided to test NixOS Flakes to build containers from Debian packages that contain the bare minimum of software. If the container does not even contain a package management system, then it is called distroless. Read more about it from Google, Docker, RedHat, or Bitnami (minideb).

Find their work at: https://gitlab.opencode.de/open-code/oci or https://container.gov.de/

The following list of their requirements is copied over from the (nodejs image README.md):

Base Image Security

• Minimal base images are used - There is no base image at all, since this build is done using nix and debian packages directly.
• Base image provenance is verified - There is no base image at all, since this build is done using nix and debian packages directly.

• Immutable artifact references are used - There is no base image at all, since this build is done using nix and debian packages directly.

• Base Image can be automatically updates (or after a fixed period of time to avoid being a victim of a supply chain attack) - There is no base image at all, since this build is done using nix and debian packages directly.

Build Process Security

• Reproducible builds are implemented - Nix is being used to ensure that builds are reproducible, meaning the same source code and build instructions always produce identical container images.

• Build environment is isolated - Build runs in a Kubernetes GitLab-Runner. Nix is instructed to not do any sandboxing. However, the build environment is isolated from the host system and other builds to prevent contamination.

• Build provenance is attested - Build process generates cryptographically signed provenance (metadata about who, what, when, and how the artifact was built), ideally at SLSA Level 2 or higher. This creates an auditable trail proving the container came from your legitimate build system and hasn’t been substituted.

• Containers are signed - Images are signed using Cosign to ensure authenticity and integrity. They can be verified using the cosign.pub public key.

• Dev / Compile time dependencies are removed - Uses Nix

Component Management & Transparency

• All components are identified - Have a look at the config json files in the root directory. All components, including their versions, urls and checksums are listed there as input to the build process.

• Component PURLs can be matched to CVE reports We are using debian packages to match against known CVEs. Besides that, we are downloading Nodejs 24 from nodejs.org. To match that against CVEs, we are using the PURL constructed from their GitHub repository: pkg:github/nodejs/node@<version>. We can match this using DevGuard against CVEs (https://osv.dev/list?q=github.com%2Fnodejs%2Fnode).

• Component checksums are verified - All checksums are either in config.json or in flake.nix.

• Regular updates are provided for all components or latest Builds like new nodejs versions - Components receive timely updates and patches from upstream maintainers, and your build process incorporates these updates regularly. This ensures your container stays protected against newly discovered vulnerabilities in its components.

• Components can be automatically updated in a timely manner (or after a fixed period of time to avoid being a victim of a supply chain attack) - An automated pipeline exists to detect, test, and deploy component updates without manual intervention. Can provenance or signatures be verified for upstream components? This ensures security patches are applied quickly, reducing the window of exposure to known vulnerabilities.

Secrets & Sensitive Data

• No secrets in images - Credentials, API keys, certificates, and other sensitive data are never embedded in container images; they are injected at runtime via secrets management systems. This prevents secrets from being exposed in image layers, which can be extracted by anyone with access to the image.

Runtime Configuration

• Resource limits are documented - Since this is an runtime image only, resource limits heavily depend on the application being run.

• Container runs as non-root user - User 53111 (nonroot) is used as non-root user.

Compliance & Vulnerability Management

• SBOM is attested - A Software Bill of Materials (SBOM) is generated, accurate, and cryptographically attested to prove the container’s contents. This provides a tamper-proof inventory of components for compliance, license management, security scanning, and incident response.

• Vulnerability management is done in a timely manner - We are using DevGuard to monitor vulnerabilities in our components. New vulnerabilities are assessed and remediated promptly based on their severity and exploitability.

• VEX is attested - Vulnerability Exploitability eXchange (VEX) documents are provided and attested, indicating which vulnerabilities are exploitable in the specific container context and which are mitigated. This reduces alert fatigue by documenting which CVEs don’t actually affect your container due to configuration or usage patterns.

Fedora-based distroless Container images

As part of my pet pilot project EU OS, I rely on compiled code (i.e. RPM packages) from Fedora. Fedora (and their downstream stable versions Redhat RHEL, CentOS Stream, AlmaLinux) have technologies in place to cover most if not all Government use cases for open source:

• operating system for the corporate laptop of the end user (check out EU OS for some inspiration)
• operating system for cloud servers, including Kubernetes clusters
• container images for cloud workloads

So if we reuse the compiled code for all purposes, then the supply chain security becomes more managable (but due to such centralisation, vulnerabilities could have a higher impact).

Let us check, how distroless container images can be built from Fedora RPM packages. Fedora described this in a blog post from 2021. Meanwhile, things have changed a little bit and such Fedora distroless images can also be composed with podman and its multi stage builds. That’s my example for a small NodeJS container:

# kate: hl Containerfile;

ARG ROOTFS="/mnt/rootfs"
ARG HOME=/home/nonroot

ARG DNF="dnf"
ARG RELEASEVER="42"
FROM quay.io/fedora/fedora-minimal:42 as base
# alternatively:
# ARG RELEASEVER="9"
# FROM registry.access.redhat.com/ubi9/ubi-minimal as base
# or
# ARG RELEASEVER="10"
# FROM quay.io/almalinuxorg/10-minimal:10.0 as base

ARG ROOTFS
ARG DNF
ARG RELEASEVER
ARG DNF_OPTS="--installroot=${ROOTFS} --releasever=${RELEASEVER} --noplugins --config=/etc/dnf/dnf.conf --setopt=install_weak_deps=0 --setopt=cachedir=/var/cache/$DNF --setopt=keepcache=1 --setopt=reposdir=/etc/yum.repos.d --setopt=varsdir=/etc/dnf"

USER root

# pinning of software versions possible with https://dnf5.readthedocs.io/en/latest/dnf5_plugins/manifest.8.html
# (see also: https://github.com/rpm-software-management/dnf5/pull/2425)
RUN --mount=type=cache,target=/var/cache/$DNF \
  mkdir -p ${ROOTFS} && \
  $DNF ${DNF_OPTS} -y --nodocs install nodejs22

FROM scratch

ARG ROOTFS
ARG HOME

COPY --from=base ${ROOTFS} /

RUN \
  mkdir -p $HOME && \
  printf "nonroot:x:1001:\n" >> /etc/group && \
  printf "nonroot:x:1001:1001:Nonroot User:/home/nonroot:/sbin/nologin\n" >> /etc/passwd && \
  printf "nonroot:!:20386::::::\n" >> /etc/shadow && \
  chown -R 1001:1001 $HOME && \
  chmod -R g=u $HOME

USER 1001
WORKDIR $HOME
ENTRYPOINT ["/bin/bash"]

How does it compare? What is missing?

• The container image is not yet reproducible in the sense that it always uses the latest packages at the time of the build. However, with RPM manifests, the Fedora package manager can be instructed to install specific software versions, similar to npm and its package.json files. I could not enable it yet, because the feature is currently disabled, as the library is not yet widely available in the Fedora package repositories.
• SBOMs can be generated directly from the RPM database. Trivy can list vulnerabilities for a given SBOM, but only for distributions with support (fedora is not; CentOS Stream, RHEL, and AlmaLinux is). Trivy can also generate SBOMs for the container images directly. Renovate can be configured to update RPM manifest files.
• Podman supports signing containers.
• The container image also supports a non-root account.
• The container currently contains still bash, find, sed, grep as those tools are pulled in as a dependency of ca-certificates. The latter is required by nodejs. To remove them, an alternative custom ca-certificates package needs to be prepared that has no such dependencies. Interestingly the image is nevertheless smaller. See also: https://discussion.fedoraproject.org/t/169906/2

I think the main advantage would be to avoid Nix flakes. Maybe Nix flakes are cool, but the system is apparently still experimental/beta software (see here or here). Also, many developers have not worked yet with Nix flakes. So this is something new to learn. Using Nix flakes doesn’t make podman or Containerfiles redundant. So learning Nix flakes does not replace learning Podman or Containerfiles.

Obviously, this advantage would apply equally to building Podman distroless containers with OpenSUSE RPMs or Debian DEBs. All it takes is a build tool that can install dependencies in a separate folder. For dnf, this is done with the option --installroot. If an organisation has already solved supply chain security for a repository of compiled code, then I believe it is good practice to reuse this repository.

What is your view? Please comment, react on Mastodon or use any other channel.

References

• https://github.com/GoogleContainerTools/distroless
• https://fedoramagazine.org/building-smaller-container-images/
• https://discussion.fedoraproject.org/t/build-distroless-image-for-nodejs-with-minimal-dependencies/169906 (my own forum topic for research purposes)
• https://www.redhat.com/en/blog/why-distroless-containers-arent-security-solution-you-think-they-are
• https://docs.docker.com/dhi/core-concepts/distroless/
• https://github.com/bitnami/minideb
• https://wiki.almalinux.org/containers/docker-images.html

Es increíble el trabajo de promoción que está realizando Nate en su blog, desde hace más del tiempo que puedo recordar. Cada semana hace un resumen de las novedades más destacadas, pero no en forma de telegrama, sino de artículo completo. Su cita semanal no falla y voy a intentar hacer algo que es simple pero requiere constancia. Traducir sus artículos al castellano utilizando los magníficos traductores lo cual hará que la gente que no domine el inglés esté al día y que yo me entere bien de todo. Bienvenidos pues a «Plasma 6.5 ya está aquí – Esta semana en Plasma». Espero que os guste.

Plasma 6.5 ya está aquí – Esta semana en Plasma

Nota: artículo original en Blogs KDE. Traducción realizada utilizando Perplexity. Esta entrada está llena de novedades de la Comunidad KDE. Mis comentarios están entre corchetes.

Novedades destacadas

Plasma 6.6.0

Ahora puedes configurar el Administrador de tareas para ajustar el volumen del audio reproducido por una tarea desplazándote sobre ella. (David Redondo, enlace)

Mejoras en la interfaz de usuario

Plasma 6.5.1

Puedes arrastrar elementos fuera de la cuadrícula de Favoritos del Lanzador de Aplicaciones Kickoff sin reordenarlos accidentalmente; cuando el elemento arrastrado sale del área de la cuadrícula, todo vuelve a su estado anterior al comenzar a arrastrar, dejándote solo con el elemento que estás moviendo. (Niccolò Venerandi, enlace) [Estas mejoras son importantes, pues hacer perder el tiempo al usuarios los enerva sobremanera y de forma casi irracinal. Doy fe.].

Las notificaciones de progreso de tareas ya no te pedirán ver más detalles cuando solo haya un elemento, porque en ese caso no hay más detalles que mostrar. (Kai Uwe Broulik, enlace) [Detalles para simplicaficar la interfaz]

Las notificaciones de progreso de tareas minimizadas en la vista de historial ahora siempre se muestran allí, en lugar de mostrarse solo las tres más recientes. (Kai Uwe Broulik, enlace)

Plasma 6.6.0

Las categorías adyacentes destacadas en los widgets del lanzador de aplicaciones Kickoff ya no se tocan entre sí. (Nate Graham, enlace)

Al reproducir contenido multimedia en un navegador web y controlarlo mediante el widget del Reproductor multimedia a través de la funcionalidad proporcionada por Plasma Browser Integration, el favicon del sitio web ahora se muestra como la carátula del álbum si este no proporciona una propia. (Kai Uwe Broulik, enlace)

En la página de Configuración de pantalla de Preferencias del sistema, todos los controles deslizantes ahora tienen el mismo ancho. (Vsevolod Stopchanskyi, enlace)

Ahora puedes encontrar la página “Acerca de este sistema” buscando winver, lo cual puede resultar familiar para los usuarios que vienen de Windows. (Michał Kula, enlace)

Frameworks 6.20

El icono “Abrir enlace” de Breeze ahora cuenta con una versión invertida para idiomas que se leen de derecha a izquierda, como el árabe y el hebreo, y se utiliza en varios lugares. (Farid Abdelnour y Nate Graham, enlace) [Inclusión: software para todo el mundo].

Se ha cambiado a una animación más elegante para el desplazamiento entre páginas. (Marco Martin, enlace)

Corrección de errores importantes

Plasma 6.4.6

Se corrigió un caso en el que KWin podía quedarse bloqueado tras abrir un número excesivo de ventanas en una pantalla muy pequeña. (Xaver Hugl, enlace)

Se corrigió un caso en el que KWin podía fallar al conectar o desconectar pantallas en caliente. (Vlad Zahorodnii, enlace)

Se corrigió un error que impedía asignar la entrada del lápiz a una pantalla diferente con algunas tabletas gráficas. (Roman Kolbaskin, enlace)

Se corrigió un error que impedía que la entrada simulada (por ejemplo, al usar software como Deskflow) funcionara correctamente cuando alguna pantalla reflejaba a otra. (Brett Girton, enlace)

Plasma 6.5.1

Se corrigieron dos regresiones recientes que podían hacer que KWin fallara. (Xaver Hugl y David Redondo, enlace 1 y enlace 2)

Se corrigió un caso en el que Plasma podía fallar al conectar o desconectar pantallas en caliente. (Alguien conocido como “Tabby Kitten”, enlace)

Se corrigió una regresión reciente que afectaba a la apariencia de los cursores del ratón en algunos modelos antiguos de GPU AMD. (Xaver Hugl, enlace)

Se corrigió un problema en Spectacle que afectaba a parte de su funcionalidad de exportación. (Noah Davis, enlace)

Se corrigió un error que impedía que las aplicaciones manejadoras de URL geo:// de KDE fueran visibles en el cuadro de diálogo “Abrir con…” basado en portales. (Ilya Fedin, enlace)

La opción para cambiar los fondos de pantalla entre sus modos claro u oscuro según el color ahora refleja con precisión que se basa en la claridad u oscuridad de los colores del estilo de Plasma, no en los de las aplicaciones. (Nate Graham, enlace)

Se redondearon correctamente las esquinas de los menús de las aplicaciones GTK 3, eliminando el pequeño borde cuadrado que sobresalía. (Rocket Aaron, enlace)

Se corrigió un problema que hacía aparecer una línea adicional de píxeles debajo de las barras de título de las ventanas grabadas mediante la función de captura de ventanas en Spectacle y otras aplicaciones. (Xaver Hugl, enlace)

Se corrigió un error de enfoque del teclado que hacía que la tecla de flecha hacia abajo en el widget del menú de aplicaciones Kicker se comportara incorrectamente después de realizar una búsqueda. (Christoph Wolk, enlace)

Plasma 6.6.0

Se corrigió un problema que hacía que las conexiones RDP se vieran apagadas y grises al usar clientes con ciertas versiones de ffmpeg. (Arjen Hiemstra, enlace)

Se corrigió la configuración “Mostrar aplicaciones como” en el widget del panel de aplicaciones. (Tomislav Pap, enlace)

Frameworks 6.20

Se corrigió un extraño problema que podía hacer que ciertas páginas de Preferencias del sistema se retrasaran o se congelaran al usar el sistema en chino. (Marco Martin, enlace)

Se corrigió un problema que hacía que las páginas de listas de aplicaciones en Discover fueran desplazables horizontalmente con las teclas de flecha, incluso cuando todo cabía correctamente. (Marco Martin, enlace)

Qt 6.11

Se corrigió un error que provocaba que los submenús que debían abrirse a la izquierda de sus menús principales se superpusieran con ellos. (David Edmundson, enlace)

Otra información de errores destacables:

• Cero errores Plasma de muy alta prioridad (igual que la semana pasada). Lista actual de errores
• 30 fallos de Plasma de 15 minutos (uno menos que la semana pasada). Lista actual de fallos

Mejoras de rendimiento y aspectos técnicos

Plasma 6.5.1

Se ha cambiado a un método de transmisión de información de color de menor ancho de banda, lo que reduce la sobrecarga para las pantallas que apenas cumplen con el ancho de banda disponible del cable, el puerto o la GPU a la que están conectadas, y las hace menos propensas a fallar al mostrar una imagen. (Xaver Hugl, enlace)

Se solucionó un problema que impedía el uso de escaneo directo cuando debía utilizarse. (Xaver Hugl, enlace)

Plasma 6.6.0

Se añadió soporte para que las aplicaciones puedan pasar la propiedad de posición al iniciar la compartición de pantalla, permitiéndoles tener más control en configuraciones con múltiples pantallas. (Nicolò Monaldini, enlace)

Se migraron los widgets de reloj a una nueva biblioteca llamada “libclock”, lo que debería corregir diversos errores en casos límite, además de aportar beneficios arquitectónicos y de mantenimiento gracias a la nueva biblioteca. (David Edmundson, enlace)

kcmshell6 --list ahora ordena su salida alfabéticamente. (Taras Oleksyn, enlace)

La información sobre el tamaño del diálogo de selección de carpetas ahora se almacena en el archivo de configuración de estado y no en el de ajustes. Esto ayuda a que el archivo de configuración de ajustes no cambie por estados transitorios, facilitando el control de versiones. (Nicolas Fella, enlace)

Cómo puedes ayudar

¡Donad a la recaudación de fondos de 2025 de KDE! Realmente marca una gran diferencia.

Si andáis mal de dinero, podéis ayudar a KDE convirtiéndoos en un miembro activo de la comunidad e involucrándoos de alguna manera. Cada colaborador marca una enorme diferencia en KDE — ¡no sois un número ni un engranaje en una máquina! Tampoco es necesario que seáis programadores; también existen muchas otras oportunidades.

No tienes que ser programador. Existen muchas otras oportunidades:

• Clasificar y confirmar informes de errores, tal vez incluso identificar su causa raíz.
• Contribuir al diseño de fondos de pantalla, iconos e interfaces de aplicaciones.
• Diseñar y mantener sitios web
• Traducir elementos de texto de la interfaz de usuario a su propio idioma.
• Promover KDE en su comunidad local
• …¡Y un montón de cosas más!

Para obtener una nueva característica de Plasma o una corrección de errores mencionada aquí, siéntase libre de enviar un commit a la solicitud de fusión correspondiente en invent.kde.org.

La entrada Plasma 6.5 ya está aquí – Esta semana en Plasma se publicó primero en KDE Blog.

Aunque el proyecto Podcast Linux está parado esto no significa que no tenga cabida en el blog y, mientras pueda, seguiré promocionándolo con la esperanza de que reviva, como cierto pájaro mitológico. Y he pensado hacerlo de una forma sencilla para mi y creo que benificiosa para todos, creando poco a poco un índice de todas sus emisiones, de forma que podamos encontrar en este blog una alternativa a su magnífica obra. Así que bienvenidos al vigesimonoveno audio de Podcast Linux – «Linux Connexion con Alejandro López (2)» donde Juan habla de nuevo con el máximo responsable de la compañía de ensambladores de dispositivos valenciana.

Trigésimo audio de Podcast Linux – «Especial Maratón Linuxero» (Podcast Linux #30)

Como los lectores del blog sabrán hace un tiempo Podcast Linux cerró sus emisiones por motivos que solo incumben a su creador. Desde el blog no quiero dejar que su recuerdo se desvanezca así que seguiré publicitando sus audios ya que su calidad no debe caer en el olvido.

Hace un tiempo decidí empezar por el principio, mostrando su primer audio, el cual no promocioné en su día y poco a poco hemos llegado a los 30 episodios repasados.

De esta forma continuo con su trigésimo audio de esta serie presentado en el blog, que en palabras de Juan:

Hoy comparto contigo un episodio muy especial. Especial porque es la primera vez que publico aquí un episodio emitido en directo, por su duración, más de 2 horas, porque es una charla compartida con muchos compañeros linuxeros y porque es un proyecto ambicioso más grande que este programa.
El audio lo comparto íntegro del siguiente post: https://maratonlinuxero.github.io/01-Qu%C3%A9-es-y-c%C3%B3mo-anda-el-Marat%C3%B3n-Linuxero/
Llevamos varias emisiones para probar la viabilidad y con esta última pretendemos dar respuesta a varios frentes abiertos del proyecto.
Lo primero, seguir realizando pruebas de emisiones en directo. Hasta ahora lo hemos intentado con Mumble y no hemos conseguido buenos resultados.A través de Jit.si mejora y facilita mucho, pero sus servidores públicos no permiten más de 1 hora de emisión hacia Youtube, que por su audiencia y chat en vivo, la vemos como la plataforma de emisión adecuada.
Lo siguiente ha sido utilizar OBS Studio como forma de conectar el audio de Jit.si hacia Youtube. Con esta emisión de 2 horas y media y a falta de pulir algunos contratiempos más durante el directo, vemos que esta fórmula va ganando frente a otras.
Comentamos nuestras dudas y sugerencias y seguimos en marcha para que el 3 de septiembre a las 15:00 horas horario español, todo esté perfecto.
No dudes en ponerte en contacto si deseas colaborar en este evento de cualquier manera.
Para ello, lo más directo es ponerte en contacto a través del grupo de Telegram para este evento: https://t.me/maratonlinuxero

Más información: Podcast Linux

Sigue a Podcast Linux

Aprovecho para animaros a seguir Podcast Linux en algunos de los canales de comunicación que tiene:

• Twitter: https://twitter.com/podcastlinux
• Mastodon: https://mastodon.social/@podcastlinux/
• Correo: podcastlinux@disroot.org
• Web: https://podcastlinux.com/
• Telegram: https://t.me/podcastlinux
• Telegram Juan Febles: https://t.me/juanfebles
• Youtube: https://www.youtube.com/PodcastLinux
• Feed Podcast Linux: https://podcastlinux.com/feed
• Feed Linux Express (Audios Telegram): https://podcastlinux.com/Linux-Express/feed

La entrada Trigésimo audio de Podcast Linux – «Especial Maratón Linuxero» (Podcast Linux #30) se publicó primero en KDE Blog.

El próximo 31 de octubre se va a realizar una Halloween Install party organizada por la asociación GNU/Linux València, un evento que tiene como eje central dejar de lado el software privado y facilitar el salto al único software que realmente respeta al usuario: el Software Libre. ¿Quieres conocer los detalles? Sigue leyendo.

Halloween Install Party València 31 de octubre

El 14 de Octubre de 2025 se acabó el soporte oficial de Windows 10… y Microsoft te ha contado una mentira: necesitas un dispositivo nuevo para poder seguir estando a la última. Eso no es cierto, es hora de decir no, a los mismos de siempre.

Esta es tu oportunidad para cambiar las reglas del juego, y seguir haciendo que tu ordenador funcione con la última tecnología, ¡o que incluso funcione mejor!

¿Cómo? Pasándote a GNU/Linux. Y te lo vamos a poner muy fácil.

Datos importantes

Día: Viernes 31 de Octubre
Hora: 17:00 a 19:30
Lugar: Edifici Las Naves (Carrer Joan Verdeguer, 16, 46024, València)
Acceso: Acceso libre y gratuito

Y por supuesto, sígue a GNU/Linux València para no perderte ninguno de sus eventos. ¡Te esperamos!

Enlaces de interés

• Campaña #EndOf10
• Contacto con GNU/Linux València

La entrada Halloween Install Party València 31 de octubre se publicó primero en KDE Blog.