amipkg otwiera repozytoria. Nawet 68000 sprawdzi podpis Ed25519

Instalowanie programu na Amidze zwykle zaczyna się niewinnie: pobrać LhA z Aminetu, rozpakować, przeczytać dokumentację i skopiować kilka plików. Potem pojawiają się biblioteki, wpis do user-startup, kilka możliwych katalogów i pytanie, które elementy należy usunąć podczas aktualizacji. Przy jednym narzędziu to rytuał. Przy kilkudziesięciu — administracja systemem prowadzona z pamięci.

amipkg Thomasa Lübkera próbuje ten proces ujednolicić dla AmigaOS 3.x. Potrafi instalować, aktualizować i usuwać oprogramowanie z przygotowanego katalogu, a wersja 0.7.1 dodaje rzecz ważniejszą od kolejnej paczki: obsługę wielu repozytoriów.

Ponad 200 programów pod jedną komendą

Oficjalny, kuratorowany katalog zawiera ponad 200 swobodnie dystrybuowanych pozycji. Są w nim odtwarzacze, commodities, narzędzia internetowe i programistyczne oraz gry. Nie jest to lustro całego Aminetu. Każdy pakiet wymaga metadanych opisujących między innymi pliki i sposób instalacji, więc mniejszy katalog jest ceną za przewidywalne operacje.

Klient działa od AmigaOS 3.0 i wystarcza mu procesor 68000. To bardzo istotne ograniczenie projektowe: amipkg nie rozwiązuje problemu klasycznego systemu przez wymaganie współczesnego portu, karty PPC albo rozbudowanego środowiska uniksowego. Ma porządkować programy na tej samej maszynie, na której są używane.

Obok interfejsu wiersza poleceń dostępne są nakładki GadTools i MUI. Zarządzanie repozytoriami trafiło również do obu GUI, więc wpisywanie komend nie jest obowiązkową opłatą za wygodniejsze aktualizacje. To podobny kierunek jak w przypadku AmigaOS 3.2: rozwijać stary system, ale nie udawać, że jego użytkownicy nagle przesiedli się do terminala z Linuksa.

Własne repozytorium to dwa statyczne pliki

Zewnętrzne repozytorium nie potrzebuje bazy danych, PHP ani nawet HTTPS. Składa się z dwóch statycznych plików, które można umieścić na zwykłym serwerze WWW. Dodanie źródła i odświeżenie katalogów wygląda tak: amipkg repo add mine http://my.server/amiga, a następnie amipkg update.

Kolejność repozytoriów określa, z którego źródła zostanie wybrany pakiet o powtarzającej się nazwie. Jeżeli użytkownik chce ominąć priorytet, może wskazać konkretny pakiet zapisem repo:pakiet. To prosta reguła, którą da się zrozumieć bez studiowania systemu zależności większej dystrybucji.

Dwa pliki i dowolny hosting obniżają próg dla autorów małych projektów. Mogą publikować aktualizacje własnym tempem, bez czekania na włączenie do głównego katalogu. Nadal można też zaproponować pakiet do oficjalnego repozytorium przez pull request albo polecenie amipkg submit.

Ed25519 i SHA-256 bez HTTPS

Brak wymaganego HTTPS nie oznacza, że klient ślepo ufa temu, co pobierze. Repozytorium może podpisać swój indeks kluczem Ed25519, a Amiga sprawdza podpis przed użyciem katalogu. Sumy SHA-256 archiwów pochodzą z podpisanego indeksu, więc zmodyfikowana paczka zostanie odrzucona.

Trzeba rozdzielić dwie rzeczy. Podpis zapewnia autentyczność katalogu i integralność plików; nie szyfruje połączenia i nie ukrywa, co użytkownik pobiera. W tym zastosowaniu pozwala jednak bezpiecznie korzystać z bardzo prostego hostingu HTTP, bez przerzucania obsługi współczesnego TLS na 68000. Podobne spotkanie nowej kryptografii ze starą Amigą opisywałem przy AmiAuth i kodach 2FA.

Klucze i podpis generuje narzędzie amipkg-repo-sign, uruchamiane po stronie autora repozytorium. Wymaga ono tylko Pythona 3. Amigowy klient dostaje już gotowy katalog i wykonuje weryfikację — cięższe przygotowanie pozostaje na współczesnej maszynie.

Czego amipkg nie naprawi za autora

Menedżer pakietów nie zmieni automatycznie każdego archiwum LhA w czystą, odwracalną instalację. Amigowe programy przez dekady wypracowały własne instalatory, układy katalogów i założenia dotyczące bibliotek. Ktoś nadal musi opisać pakiet, sprawdzić licencję i utrzymywać metadane. Kuratorowany katalog przenosi tę pracę z użytkownika na opiekunów, ale jej nie usuwa.

Nie zastąpi też Aminetu. Archiwum pozostaje świetnym miejscem publikacji i historycznym magazynem, podczas gdy amipkg dokłada warstwę powtarzalnego instalowania oraz aktualizacji. Te role mogą się uzupełniać, zamiast walczyć o ten sam kawałek amigowego świata.