Chapeau la distrib'

Fedora 45 vient d’entrer dans sa phase bêta. Les nouveautés sont assez nombreuses, notamment sur la sécurité et les paquets reproductibles.

Fedora est le laboratoire à ciel ouvert de Red Hat. La distribution est connue pour être pionnière dans ses choix technologiques, comme le choix du serveur d’affichage Wayland par défaut dès la version 25, longtemps avant les autres distributions (et les bugs de jeunesse qui allaient avec).

• X11, Wayland : pourquoi la transition est-elle aussi longue ?

Comme Ubuntu, Fedora dispose d’un rythme biannuel, au printemps et à l’automne. La nouvelle mouture 45 est ainsi prévue pour le 20 octobre, ou le 27 en cas de problème. Maintenant que la bêta est disponible, on peut observer ses nouveautés, parmi lesquelles une hausse manifeste du niveau de sécurité.

Toutes les variantes du système peuvent être téléchargées (images ISO) depuis le site officiel. Sur la page de téléchargement, il faut penser à activer le sélecteur d’affichage pour la bêta. Depuis l’annonce officielle, les différents liens pointent tous directement vers les versions 45.

Composants de base

La bêta de Fedora 45 est livrée avec le noyau Linux 7.2, la dernière révision stable (sortie le 16 aout). Parmi les nouveautés de ce dernier, le Cache Aware Scheduling permet à l’équilibrage de charge de tenir compte du cache de dernier niveau au sein des processeurs. Phoronix, connu pour ses tests de performances, indiquait en outre que le noyau 7.2 introduisait des gains mesurables de performances pour les processeurs AMD et Intel. Entre autres nouveautés, on trouve une première prise en charge du HDMI 2.1 FRL dans le pilote AMDGPU, le support du protocole USB4STREAM d’Intel ou diverses prises en charge dans KVM de fonctions de sécurité propres à AMD et Intel.

Comme toujours avec Fedora, la version proposée par défaut pour les PC, Workstation, est fournie avec GNOME, qui passe pour l’occasion en version 51. Cette mouture n’est pas finalisée, même si les composants en bêta sont remplacés par leurs équivalents RC (Release Candidate) après l’installation de Fedora 45. GNOME 51 inaugure des curseurs au format SVG (déjà présents dans KDE), une nouvelle interface de gestion des empreintes digitales, le support de la connexion distante multi-utilisateurs via Kerberos, de nouveaux réglages pour le pavé tactile, de meilleures performances pour Agenda ou encore le nettoyage du code auparavant lié aux anciens pilotes NVIDIA. Pour les personnes n’appréciant pas GNOME, KDE Plasma 6.7 est disponible dans une version dédiée.

Côté développement, la chaîne GNU passe à GCC 16.2, binutils 2.47, glibc 2.44 et gdb 17.2. S’y ajoutent LLVM 23 pour l’ensemble des sous-projets, Go 1.27, Python 3.15, Perl 5.44 et Lua 5.5. Dans les notes de version de la distribution, on peut lire que plusieurs changements cassent la compatibilité. Par exemple, Setuptools 82 supprime le module pkg_resources. Pandas passe de la 2.3 à la 3.0, avec une gestion des chaînes revue, un comportement copie-sur-écriture cohérent et la suppression de fonctionnalités dépréciées depuis longtemps. Même chose avec libxml2, dont le passage de la 2.13.9 à la 2.15.3 s’est accompagné d’un changement d’ABI, imposant une recompilation de masse avec dépréciation des liaisons Python.

Parmi les autres changements, Podman 6 est une des mises à jour les plus lourdes de conséquences. Elle « inclut des changements importants de rupture de l’API et de la ligne de commande, de nouvelles fonctionnalités, ainsi que la suppression finale de composants obsolètes tels que slirp4netns, cgroups v1 et le backend BoltDB », prévient Fedora. Citons également le passage de MySQL de la version 8.4 à 9.7, et celui de MariaDB de la version 11.8 à la 12.3. NetworkManager prend en charge par défaut les réseaux « IPv6-mostly ».

Sécurité : plusieurs serrages de vis

Plusieurs changements importants sont présents dans Fedora 45. D’abord, l’équipe indique avoir franchi la barre des 90 % de paquets reproductibles.

Pour comprendre l’intérêt, rappelons qu’un paquet est dit « reproductible » si, à partir du même code source, du même environnement de compilation et des mêmes instructions, n’importe qui peut régénérer une copie identique bit à bit du paquet publié. En clair, il s’agit d’un gage de sécurité de la chaine d’approvisionnement : c’est la garantie que le binaire téléchargé correspond bien au code source publié. Dans le cas de Fedora, toute non-reproductibilité détectée est considérée comme un bug et est traitée comme telle, via un rapport. La distribution n’est pas la seule à progresser dans ce domaine, d’autres comme Arch Linux ou NixOS font de même.

On reste dans le sujet avec la vérification désormais obligatoire des signatures par le gestionnaire de paquets RPM. Un mode de vérification stricte, conformément au comportement en amont introduit par la version 6.0, comme nous l’indiquions il y a un an. Ainsi, seuls les paquets dont la signature est vérifiée peuvent être installés, sauf dérogation explicite avec --nosignature ou l’API correspondante. Les RPM compilés localement et non signés sont directement concernés. Côté Fedora, ce changement se fait dans la foulée du passage à RPM 6.1.

Fedora 45 restreint également ptrace par réglage global dans le noyau qui retire par défaut certaines permissions de débogage aux utilisateurs non privilégiés. L’objectif est d’empêcher un logiciel malveillant d’inspecter les autres processus du même utilisateur. En revanche, si des outils de débogage sont installés, un fichier sysctl rétablit le comportement classique de Fedora 44 et des versions précédentes.

Autre changement significatif, le changement de fournisseur par défaut du service Secret. On passe ainsi de KWallet et GNOME Keyring à oo7. Écrit en Rust, il implémente la même interface D-Bus org.freedesktop.secrets, et se veut une alternative légère utilisable sur tous les environnements. Il est développé dans le cadre du projet linux-credentials et sert déjà de service de secrets natif pour COSMIC Desktop. D’après la fiche Fedora, oo7 doit permettre un modèle d’autorisation limitée par application ou par service, ouvrir la voie à l’authentification FIDO2 et mieux encadrer l’accès des applications isolées aux secrets.

On trouve d’autres modifications liées à la sécurité, comme l’interdiction par DNF5 de changer de fournisseur par défaut. Un changement important, car à moins d’une manipulation spécifique, un paquet installé ne peut donc plus être remplacé automatiquement par celui d’un autre fournisseur. Signalons aussi que chpasswd et newusers passent désormais par PAM et appliquent donc les politiques de mots de passe du système.

Chapeau la distrib'

Fedora 45 vient d’entrer dans sa phase bêta. Les nouveautés sont assez nombreuses, notamment sur la sécurité et les paquets reproductibles.

Fedora est le laboratoire à ciel ouvert de Red Hat. La distribution est connue pour être pionnière dans ses choix technologiques, comme le choix du serveur d’affichage Wayland par défaut dès la version 25, longtemps avant les autres distributions (et les bugs de jeunesse qui allaient avec).

• X11, Wayland : pourquoi la transition est-elle aussi longue ?

Comme Ubuntu, Fedora dispose d’un rythme biannuel, au printemps et à l’automne. La nouvelle mouture 45 est ainsi prévue pour le 20 octobre, ou le 27 en cas de problème. Maintenant que la bêta est disponible, on peut observer ses nouveautés, parmi lesquelles une hausse manifeste du niveau de sécurité.

Toutes les variantes du système peuvent être téléchargées (images ISO) depuis le site officiel. Sur la page de téléchargement, il faut penser à activer le sélecteur d’affichage pour la bêta. Depuis l’annonce officielle, les différents liens pointent tous directement vers les versions 45.

Composants de base

La bêta de Fedora 45 est livrée avec le noyau Linux 7.2, la dernière révision stable (sortie le 16 aout). Parmi les nouveautés de ce dernier, le Cache Aware Scheduling permet à l’équilibrage de charge de tenir compte du cache de dernier niveau au sein des processeurs. Phoronix, connu pour ses tests de performances, indiquait en outre que le noyau 7.2 introduisait des gains mesurables de performances pour les processeurs AMD et Intel. Entre autres nouveautés, on trouve une première prise en charge du HDMI 2.1 FRL dans le pilote AMDGPU, le support du protocole USB4STREAM d’Intel ou diverses prises en charge dans KVM de fonctions de sécurité propres à AMD et Intel.

Comme toujours avec Fedora, la version proposée par défaut pour les PC, Workstation, est fournie avec GNOME, qui passe pour l’occasion en version 51. Cette mouture n’est pas finalisée, même si les composants en bêta sont remplacés par leurs équivalents RC (Release Candidate) après l’installation de Fedora 45. GNOME 51 inaugure des curseurs au format SVG (déjà présents dans KDE), une nouvelle interface de gestion des empreintes digitales, le support de la connexion distante multi-utilisateurs via Kerberos, de nouveaux réglages pour le pavé tactile, de meilleures performances pour Agenda ou encore le nettoyage du code auparavant lié aux anciens pilotes NVIDIA. Pour les personnes n’appréciant pas GNOME, KDE Plasma 6.7 est disponible dans une version dédiée.

Côté développement, la chaîne GNU passe à GCC 16.2, binutils 2.47, glibc 2.44 et gdb 17.2. S’y ajoutent LLVM 23 pour l’ensemble des sous-projets, Go 1.27, Python 3.15, Perl 5.44 et Lua 5.5. Dans les notes de version de la distribution, on peut lire que plusieurs changements cassent la compatibilité. Par exemple, Setuptools 82 supprime le module pkg_resources. Pandas passe de la 2.3 à la 3.0, avec une gestion des chaînes revue, un comportement copie-sur-écriture cohérent et la suppression de fonctionnalités dépréciées depuis longtemps. Même chose avec libxml2, dont le passage de la 2.13.9 à la 2.15.3 s’est accompagné d’un changement d’ABI, imposant une recompilation de masse avec dépréciation des liaisons Python.

Parmi les autres changements, Podman 6 est une des mises à jour les plus lourdes de conséquences. Elle « inclut des changements importants de rupture de l’API et de la ligne de commande, de nouvelles fonctionnalités, ainsi que la suppression finale de composants obsolètes tels que slirp4netns, cgroups v1 et le backend BoltDB », prévient Fedora. Citons également le passage de MySQL de la version 8.4 à 9.7, et celui de MariaDB de la version 11.8 à la 12.3. NetworkManager prend en charge par défaut les réseaux « IPv6-mostly ».

Sécurité : plusieurs serrages de vis

Plusieurs changements importants sont présents dans Fedora 45. D’abord, l’équipe indique avoir franchi la barre des 90 % de paquets reproductibles.

Pour comprendre l’intérêt, rappelons qu’un paquet est dit « reproductible » si, à partir du même code source, du même environnement de compilation et des mêmes instructions, n’importe qui peut régénérer une copie identique bit à bit du paquet publié. En clair, il s’agit d’un gage de sécurité de la chaine d’approvisionnement : c’est la garantie que le binaire téléchargé correspond bien au code source publié. Dans le cas de Fedora, toute non-reproductibilité détectée est considérée comme un bug et est traitée comme telle, via un rapport. La distribution n’est pas la seule à progresser dans ce domaine, d’autres comme Arch Linux ou NixOS font de même.

On reste dans le sujet avec la vérification désormais obligatoire des signatures par le gestionnaire de paquets RPM. Un mode de vérification stricte, conformément au comportement en amont introduit par la version 6.0, comme nous l’indiquions il y a un an. Ainsi, seuls les paquets dont la signature est vérifiée peuvent être installés, sauf dérogation explicite avec --nosignature ou l’API correspondante. Les RPM compilés localement et non signés sont directement concernés. Côté Fedora, ce changement se fait dans la foulée du passage à RPM 6.1.

Fedora 45 restreint également ptrace par réglage global dans le noyau qui retire par défaut certaines permissions de débogage aux utilisateurs non privilégiés. L’objectif est d’empêcher un logiciel malveillant d’inspecter les autres processus du même utilisateur. En revanche, si des outils de débogage sont installés, un fichier sysctl rétablit le comportement classique de Fedora 44 et des versions précédentes.

Autre changement significatif, le changement de fournisseur par défaut du service Secret. On passe ainsi de KWallet et GNOME Keyring à oo7. Écrit en Rust, il implémente la même interface D-Bus org.freedesktop.secrets, et se veut une alternative légère utilisable sur tous les environnements. Il est développé dans le cadre du projet linux-credentials et sert déjà de service de secrets natif pour COSMIC Desktop. D’après la fiche Fedora, oo7 doit permettre un modèle d’autorisation limitée par application ou par service, ouvrir la voie à l’authentification FIDO2 et mieux encadrer l’accès des applications isolées aux secrets.

On trouve d’autres modifications liées à la sécurité, comme l’interdiction par DNF5 de changer de fournisseur par défaut. Un changement important, car à moins d’une manipulation spécifique, un paquet installé ne peut donc plus être remplacé automatiquement par celui d’un autre fournisseur. Signalons aussi que chpasswd et newusers passent désormais par PAM et appliquent donc les politiques de mots de passe du système.

Plusieurs utilisateurs d’iPhone ont remarqué qu’après avoir installé iOS 27, leur téléphone contournait les solutions domestiques de blocages de publicités basées sur le DNS telles que Pi-hole ou AdGuard.

Un rapide tour dans les réglages dans l’appareil a permis d’identifier la source du problème. De façon empirique, elle semble liée à la fonction Assistance connectivité (Connectivity Assist) proposée par iOS au niveau des paramètres de la connexion Wi-Fi. Désactiver cette dernière rétablit le blocage des publicités, comme en témoignent plusieurs utilisateurs de Reddit.

Une fiche du support Apple datée du 15 septembre confirme que le phénomène est lié à l’Assistance connectivité. « Si vous souhaitez rester connecté en permanence au Wi-Fi pour une configuration de routeur spécifique (par exemple, votre bloqueur de publicités), vous pouvez désactiver l’assistance à la connectivité pour ce réseau particulier. », indique explicitement cette dernière.

La fonction Assistance connectivité, désormais logée dans le menu Wi-Fi des réglages, permet à iOS de basculer automatiquement vers la connexion cellulaire de l’appareil lorsque le réseau sans fil local est trop lent. Quand elle est activée, le système interprète le blocage des contenus publicitaires comme une défaillance du Wi-Fi, et va donc emprunter le réseau cellulaire pour appeler les données correspondantes.

Cette fonctionnalité n’est pas apparue avec iOS 27. Jusqu’à iOS 27, cette fonctionnalité était intégrée au menu Données cellulaires des réglages, sous le nom Assistant Wi-Fi. Le problème vient en réalité d’un changement de paramétrage lors de la mise à jour, qui avait d’ailleurs déjà été constaté par certains utilisateurs des versions bêta d’iOS 27.

Nous l’avons expérimenté directement mercredi matin en mettant à jour un iPhone de iOS 26.6 vers iOS 27. La fonction Assistant Wi-Fi, désactivée avant la mise à jour, était effectivement activée une fois la migration achevée.

Bref, si vous utilisez Pi-hole, AdGuard ou une solution équivalente avec un iPhone, contrôlez simplement les réglages de votre Wi-Fi.

Plusieurs utilisateurs d’iPhone ont remarqué qu’après avoir installé iOS 27, leur téléphone contournait les solutions domestiques de blocages de publicités basées sur le DNS telles que Pi-hole ou AdGuard.

Un rapide tour dans les réglages dans l’appareil a permis d’identifier la source du problème. De façon empirique, elle semble liée à la fonction Assistance connectivité (Connectivity Assist) proposée par iOS au niveau des paramètres de la connexion Wi-Fi. Désactiver cette dernière rétablit le blocage des publicités, comme en témoignent plusieurs utilisateurs de Reddit.

Une fiche du support Apple datée du 15 septembre confirme que le phénomène est lié à l’Assistance connectivité. « Si vous souhaitez rester connecté en permanence au Wi-Fi pour une configuration de routeur spécifique (par exemple, votre bloqueur de publicités), vous pouvez désactiver l’assistance à la connectivité pour ce réseau particulier. », indique explicitement cette dernière.

La fonction Assistance connectivité, désormais logée dans le menu Wi-Fi des réglages, permet à iOS de basculer automatiquement vers la connexion cellulaire de l’appareil lorsque le réseau sans fil local est trop lent. Quand elle est activée, le système interprète le blocage des contenus publicitaires comme une défaillance du Wi-Fi, et va donc emprunter le réseau cellulaire pour appeler les données correspondantes.

Cette fonctionnalité n’est pas apparue avec iOS 27. Jusqu’à iOS 27, cette fonctionnalité était intégrée au menu Données cellulaires des réglages, sous le nom Assistant Wi-Fi. Le problème vient en réalité d’un changement de paramétrage lors de la mise à jour, qui avait d’ailleurs déjà été constaté par certains utilisateurs des versions bêta d’iOS 27.

Nous l’avons expérimenté directement mercredi matin en mettant à jour un iPhone de iOS 26.6 vers iOS 27. La fonction Assistant Wi-Fi, désactivée avant la mise à jour, était effectivement activée une fois la migration achevée.

Bref, si vous utilisez Pi-hole, AdGuard ou une solution équivalente avec un iPhone, contrôlez simplement les réglages de votre Wi-Fi.

Mozilla tient son rythme de mises à jour bimensuelles. La fondation a publié Firefox 156 mardi 15 septembre, une nouvelle mouture qui sur le plan fonctionnel introduit deux nouveautés : la possibilité de lancer automatiquement Firefox au démarrage de macOS, et l’arrivée des « suggestions sponsorisées » au niveau de la barre d’adresses.

Ces dernières s’intègrent à « Firefox suggère », l’outil qui, habituellement, explore l’historique de navigation pour conseiller des adresses susceptibles d’anticiper les besoins de l’internaute. Ces dernières peuvent maintenant afficher des propositions émanant soit de l’édition locale de Wikipédia et, de temps à autres, des « suggestions sponsorisées occasionnelles », dont la consultation est donc censée générer du chiffre d’affaires pour Mozilla.

Ces suggestions sponsorisées existent depuis longtemps, mais jusqu’ici, elles n’étaient pas encore déployées en France, Allemagne et Italie, les trois pays concernés par cette mise à jour. La suggestion sponsorisée prend place en bas du champ qui s’ouvre lorsqu’on commence la saisie dans la barre d’adresses.

Ces suggestions sponsorisées peuvent tout à fait être désactivées, comme l’ensemble des propositions liées à Firefox suggère. Pour ce faire, il suffit de se rendre dans les réglages, ligne Recherche, et de cocher ou décocher les différentes propositions.

En coulisses, Firefox 156 introduit également quelques améliorations de performances. Mozilla annonce ainsi que la visionneuse PDF intégrée s’ouvre désormais 45 % plus vite qu’avec la version précédente. L’empreinte mémoire vive / CPU devrait également être améliorée lorsque le navigateur doit afficher des images JPEG mises à l’échelle. Sur les machines Windows on ARM, la nouvelle mouture sait désormais faire appel au décodage matériel H264 lors des appels vidéo via WebRTC, ce qui devrait là aussi améliorer les performances, puisque les versions précédentes passaient par un décodage logiciel.

La prochaine mise à jour de Firefox devrait intervenir le 29 septembre prochain. Cette version 157 est censée s’accompagner de la nouvelle interface Nova, aux contours très arrondis déjà présentés sur Next. Activée par défaut depuis quelques semaines sur le canal Nightly (préversions très en avance de phase), celle-ci est maintenant distribuée via la bêta de Firefox 157.

• Firefox active sa nouvelle interface Nova par défaut dans le canal Nightly

Mozilla tient son rythme de mises à jour bimensuelles. La fondation a publié Firefox 156 mardi 15 septembre, une nouvelle mouture qui sur le plan fonctionnel introduit deux nouveautés : la possibilité de lancer automatiquement Firefox au démarrage de macOS, et l’arrivée des « suggestions sponsorisées » au niveau de la barre d’adresses.

Ces dernières s’intègrent à « Firefox suggère », l’outil qui, habituellement, explore l’historique de navigation pour conseiller des adresses susceptibles d’anticiper les besoins de l’internaute. Ces dernières peuvent maintenant afficher des propositions émanant soit de l’édition locale de Wikipédia et, de temps à autres, des « suggestions sponsorisées occasionnelles », dont la consultation est donc censée générer du chiffre d’affaires pour Mozilla.

Ces suggestions sponsorisées existent depuis longtemps, mais jusqu’ici, elles n’étaient pas encore déployées en France, Allemagne et Italie, les trois pays concernés par cette mise à jour. La suggestion sponsorisée prend place en bas du champ qui s’ouvre lorsqu’on commence la saisie dans la barre d’adresses.

Ces suggestions sponsorisées peuvent tout à fait être désactivées, comme l’ensemble des propositions liées à Firefox suggère. Pour ce faire, il suffit de se rendre dans les réglages, ligne Recherche, et de cocher ou décocher les différentes propositions.

En coulisses, Firefox 156 introduit également quelques améliorations de performances. Mozilla annonce ainsi que la visionneuse PDF intégrée s’ouvre désormais 45 % plus vite qu’avec la version précédente. L’empreinte mémoire vive / CPU devrait également être améliorée lorsque le navigateur doit afficher des images JPEG mises à l’échelle. Sur les machines Windows on ARM, la nouvelle mouture sait désormais faire appel au décodage matériel H264 lors des appels vidéo via WebRTC, ce qui devrait là aussi améliorer les performances, puisque les versions précédentes passaient par un décodage logiciel.

La prochaine mise à jour de Firefox devrait intervenir le 29 septembre prochain. Cette version 157 est censée s’accompagner de la nouvelle interface Nova, aux contours très arrondis déjà présentés sur Next. Activée par défaut depuis quelques semaines sur le canal Nightly (préversions très en avance de phase), celle-ci est maintenant distribuée via la bêta de Firefox 157.

• Firefox active sa nouvelle interface Nova par défaut dans le canal Nightly