PALI — ARCHIVES ET RESTAURATION DU 26 OCTOBRE 2026
Christophe Casalegno / Brain Override

PALI est un ancêtre de StackX. Ces fichiers permettent de conserver et d'étudier
son fonctionnement historique, et de préparer une installation de laboratoire
sur sa génération Debian d'origine. Ils ne constituent pas une pile actuelle.

ORIGINAUX CONSERVÉS À L'IDENTIQUE

originals/palid8-1.26-original.sh : Debian 8, version 1.26, 26 914 octets.
Capture Wayback : 28 octobre 2020 à 10:43:54 UTC.
https://web.archive.org/web/20201028104354/https://www.christophe-casalegno.com/tools/palid8.sh
SHA-256 : dea7afe081f5672c3a26c9775484216b2c9307912a102145cc6acf60e77b3cc7

originals/paliv9-2.3-original.sh : Debian 9, version 2.3, 26 198 octets.
Capture Wayback : 13 novembre 2019 à 22:44:38 UTC.
https://web.archive.org/web/20191113224438/https://www.christophe-casalegno.com/tools/paliv9.sh
SHA-256 : 2791540283d7ca9d6d7483daaf18fcb2e1a1d16bb730521604f6f2b9b0606efe

Les captures ne donnent pas les dates de sortie des versions. Leurs empreintes
correspondent aux digests de l'index CDX. Les originaux gardent aussi leurs défauts
et leur ancienne mention « stable for use in Production » : cette mention est un
texte historique, pas une validation actuelle. Aucun de ces scripts originaux n'a
été exécuté pendant la récupération.

VARIANTES RESTAURÉES

restored/palid8.sh : base 1.26, adaptation archive-20261026 pour Debian 8 amd64.
restored/paliv9.sh : base 2.3, adaptation archive-20261026 pour Debian 9 amd64.
Le lien historique palid9.sh sert la même variante Debian 9 que paliv9.sh.
Les différences exactes avec les originaux sont conservées dans patches/.
SHA256SUMS permet de vérifier tous les fichiers du paquet.

Les variantes utilisent une liste APT dédiée aux archives officielles de Debian,
sans remplacer les sources générales du système. Le transport HTTP des archives
reste soumis aux signatures APT et aux empreintes des paquets ; aucune clé n’est
récupérée en HTTP ni ajoutée à la confiance globale. Les anciens miroirs courants
et les suites disparues jessie-updates/stretch-updates ne sont plus employés.
La validation des signatures et des empreintes des paquets reste obligatoire.

Les installateurs distants de Composer, NodeSource, Grunt, Drush, WP-CLI,
Drupal Console et Webmin ne sont plus exécutés automatiquement. Ce paquet ne
fournit pas de versions figées et vérifiées de ces outils tiers. Leur omission
est volontaire et signalée ; le fonctionnement intégral de l'époque reste
consultable dans les originaux. Duplicity passe par un paquet Debian authentifié.

L'émission automatique de certificats Let's Encrypt n'est pas restaurée.
La présence d'un vieux paquet Certbot dans une archive ne garantit pas sa
compatibilité actuelle avec ACME. Les options -l 1, -j et -w sont refusées
explicitement, avant installation ; -l 0 reste accepté.

CORRECTIONS DE SÉCURITÉ ET DE FONCTIONNEMENT

- Validation des paramètres, OS et prérequis avant modification ; installation
  explicite et arrêt sur erreur. Paquets authentifiés et téléchargés avant
  configuration ; les étapes d'installation utilisent --no-download.
- Mots de passe aléatoires conservés dans un fichier root en mode 600, y compris
  pour diagnostiquer une installation incomplète. Aucun envoi par e-mail.
- Mot de passe Unix root et politique SSH conservés ; sans -s, pas de changement
  de configuration SSH. Les ports précédents restent permis par le pare-feu.
- MySQL et Memcached limités à la boucle locale. phpMyAdmin et Munin accessibles
  localement ou par tunnel SSH. Pas de page phpinfo publique.
- FTP exige TLS pour les commandes et les données ; certificat local autosigné,
  ports passifs définis et filtrage IPv4/IPv6 cohérent.
- Séparation de l'installation de phpMyAdmin et de celle du serveur SQL,
  cohérence des pools et sockets PHP-FPM, CGI Munin et validation Fail2ban.
- En cas d'échec, arrêt des nouveaux services concernés (pas de coupure de SSH),
  restauration des règles de filtrage précédentes si elles avaient été changées,
  et absence de marqueur de succès. Ce mécanisme ne désinstalle pas les paquets.

UTILISATION DES VARIANTES

Lire l'aide sans installation :
  bash restored/palid8.sh --help
  bash restored/paliv9.sh --help

Le comportement par défaut est un contrôle préalable, pas une installation.
Les prérequis comprennent la version Debian exacte, amd64, les outils de base,
une exécution en root dans la VM, un trousseau Debian de provenance vérifiée,
au moins 2 Gio de RAM et une machine dédiée sans pile
LAMP ni données MySQL préexistantes. Les paramètres sont contrôlés avant
modification. L'installation demande l'option explicite --install-archive.

Exemple de contrôle, dans une VM Debian 9 de laboratoire uniquement :
  bash restored/paliv9.sh --check -a admin@example.net -n lab.example.net \
    --keyring keys/debian-archive-keyring.gpg

Le dossier keys/ contient le trousseau public utilisé aux essais, avec la
provenance du paquet Debian 2025.1, les empreintes et la licence. Il réunit les
clés actuelles et les anciennes clés officielles. --keyring le réserve aux
appels APT dédiés de cette restauration, sans import global.
Vérifier SHA256SUMS et keys/PROVENANCE.txt avant utilisation. Les signatures
anciennes restent anciennes : fournir ce trousseau ne change aucune expiration.
Ne pas télécharger une clé arbitraire pour faire disparaître une erreur.
La liste officielle des clés est https://ftp-master.debian.org/keys.html
et les archives sont documentées sur https://www.debian.org/distrib/archive

Après lecture des différences, validation des prérequis et préparation de la
VM dédiée, remplacer --check par --install-archive pour installer.
Les identifiants ne doivent pas être publiés avec les fichiers de ce paquet.

AUTHENTIFICATION DES ARCHIVES : LIMITE À CONNAÎTRE

Les six dépôts Jessie/Stretch, sécurité et backports sont encore accessibles.
Les quatorze index reçus correspondent aux tailles et SHA-256 de leurs Release.
Jessie-backports possède un Valid-Until expiré ; la dérogation de fraîcheur est
limitée aux appels APT sur les archives. Ce réglage ne désactive pas la signature.

Les signatures Jessie sont mathématiquement valides, mais GnuPG signale leurs
clés expirées. Un APT récent utilisant sqv accepte les archives historiques et
rejette bien une copie altérée. Cela ne prouve pas le comportement d'APT 1.0
ou 1.4 sur les OS cibles. Stretch a également des signatures de clés plus récentes
que celles fournies par les premières installations de cette distribution.
En cas d'erreur de signature, clé ou TLS, arrêter et diagnostiquer la confiance.
Aucune option trusted=yes, --allow-unauthenticated ni changement artificiel
d'horloge n'est fourni pour contourner ce contrôle.

VALIDATION ET PORTÉE

Contrôles réalisés : 85 vérifications de syntaxe, aide, refus de paramètres et
validateurs passent ; relecture fonctionnelle indépendante et 40 cas de
validateurs supplémentaires ; simulations APT de toutes les phases finales,
sans version manquante dans le préchargement ; signatures et index vérifiés. Une simulation APT
ne prouve ni le démarrage d'Apache/PHP/MySQL, ni l'accès SSH/FTP, ni le bon
comportement du pare-feu dans une vraie VM.
Une installation complète sur Debian 8 et Debian 9 n'a pas été exécutée ici.
Les variantes restent donc à valider de bout en bout en laboratoire.
Debian 8, Debian 9 et leurs piles applicatives anciennes ne retrouvent pas un
support de sécurité actuel par ce travail de restauration.

La page native locale garde la présentation historique et distingue ces variantes
des originaux. Aucun changement n'est publié en production.
