new iso

11 files changed, 120 insertions, 72 deletions

diff --git a/.forgejo/.DS_Store b/.forgejo/.DS_Store
deleted file mode 100644
index 4159d69..0000000
--- a/.forgejo/.DS_Store
+++ /dev/null
diff --git a/.forgejo/workflows/build-iso.yml b/.forgejo/workflows/build-iso.yml
index 629eb11..e0f2429 100644
--- a/.forgejo/workflows/build-iso.yml
+++ b/.forgejo/workflows/build-iso.yml
@@ -29,22 +29,10 @@ jobs:
           sudo sed -i '/^\[raveos-core-repo\]/,/^$/d' /etc/pacman.conf
           cat <<'EOF' | sudo tee -a /etc/pacman.conf
           [raveos-core-repo]
-          SigLevel = Never TrustAll
+          SigLevel = Required DatabaseOptional
           Server = https://page.rp1.hu/x86_64/
           EOF
 
-      - name: Sync and update runner
-        run: |
-          set -euo pipefail
-          sudo pacman -Sy --noconfirm
-          if pacman -Qu 2>/dev/null | grep -q .; then
-            echo "Elavult csomagok talalhatok, auto-frissites indul..."
-            sudo pacman -Su --noconfirm
-            echo "Runner auto-frissites: OK"
-          else
-            echo "Runner konzisztencia ellenorzes: OK"
-          fi
-
       - name: Verify archiso
         run: pacman -Q archiso
 
@@ -132,6 +120,18 @@ jobs:
           RAVEOSKEY
           sudo pacman-key --lsign-key 25C7668F1235F5664F037671BDB2A9CE6EBFF113
 
+      - name: Sync and update runner
+        run: |
+          set -euo pipefail
+          sudo pacman -Sy --noconfirm
+          if pacman -Qu 2>/dev/null | grep -q .; then
+            echo "Elavult csomagok talalhatok, auto-frissites indul..."
+            sudo pacman -Su --noconfirm
+            echo "Runner auto-frissites: OK"
+          else
+            echo "Runner konzisztencia ellenorzes: OK"
+          fi
+
       - name: Build ISO
         run: |
           set -euo pipefail
diff --git a/README.md b/README.md
index 1405323..8a45b4a 100644
--- a/README.md
+++ b/README.md
@@ -6,10 +6,90 @@ Arch Linux alapú egyedi disztribúció tőbb asztali környezettel, automatizá
 > **Alap:** Arch Linux (rolling) + CachyOS kernel + Chaotic-AUR
 > **Asztali környezet:** GNOME 47+ (Wayland), Hyprland támogatás béta állapotban!
 
-----
 
 ## Változásnapló
 
+## Build 2026-09-19
+
+#### `[security]` Live ISO: SSH kivéve, root jelszó zárolva
+- `openssh` kivéve a `packages.x86_64`-ból; a `sshd.service` wants symlink és az
+  `etc/ssh` config (10-archiso.conf) törölve az airootfs-ből.
+- Az `airootfs/etc/shadow`-ban a root jelszó zárolva (`root:!`), a korábbi üres
+  jelszó megszűnt.
+
+#### `[security]` polkit: globális nopasswd helyett whitelist
+- A `49-nopasswd_global.rules` a globális `wheel → YES` helyett csak az
+  `udisks2`, `NetworkManager`, `systemd1` és `login1` action-prefixekre ad
+  engedélyt; minden másra `NOT_HANDLED`.
+
+#### `[iso]` IgnorePkg: build-időben aktív
+- A `releng/pacman.conf`-ban az `IgnorePkg` build-időben aktív (GNOME 48/mutter
+  pin), az `airootfs` példányban kommentelve marad, az `enableservices` állítja
+  vissza telepítéskor.
+
+#### `[iso]` `.automated_script.sh` eltávolítva
+- A `script=` kernel-paraméterből tetszőleges URL-t root-ként futtató legacy
+  script kikerült az airootfs-ből.
+
+#### `[ci]` SigLevel + lépéssorrend
+- A `build-iso.yml`-ben a `raveos-core-repo` `SigLevel = Never TrustAll` helyett
+  `Required DatabaseOptional`; a „Sync and update runner” lépés a RaveOS kulcs
+  importja utánra került, különben az első `pacman -Sy` kulcs nélkül futna.
+
+#### `[calamares]` bootloader.conf javítás (Calamares 3.4.2 séma)
+- A régi kulcsok (`bootloader:`, `kernel:`, `initramfs:`, `efiMountPoint:`,
+  `microcode:`, `keepEFI:`) érvénytelenek voltak (`additionalProperties: false`),
+  és a kötelező `kernelSearchPath`/`kernelPattern` hiányzott (KeyError).
+- Új: `efiBootLoader: systemd-boot`, kernel-felismerés a `/usr/lib/modules` alól,
+  `loaderEntries`, `kernelParams: [quiet]`; a grub kulcsok csak BIOS-fallbackhez.
+
+#### `[calamares]` Telepítés: zstd initramfs, env javítás
+- A `shellprocess-final.conf`-ban a HOOKS sor cserélve (`plymouth` + `kms`,
+  `modconf` nélkül), `COMPRESSION=zstd`, `COMPRESSION_OPTIONS=(-19 -T0)`.
+- A MESA/__GL env `printf`-fel (idézőjelek nélkül) íródik; a rossz környezetben
+  futó `gsettings` sorok törölve.
+
+#### `[calamares]` Szolgáltatások: suspend vissza, hibernate/geoclue tiltva
+- A `sleep.target` és `suspend.target` unmask (laptopon működik a suspend);
+  a `hibernate.target` és `hybrid-sleep.target` tiltva marad; a `geoclue.service`
+  maszkolva marad.
+- Az `ananicy-cpp` teljesen kivéve (enableservices, welcome app, gaming-optimize).
+
+#### `[calamares]` ufw + biztonsági finomítások
+- ufw engedélyezés a telepítés végén (`ENABLED=yes` + `systemctl enable ufw.service`).
+- `Calamares-install.json` 0600; `allowWeakPasswordsDefault: false`.
+
+#### `[calamares]` Keyring: TOFU megszüntetése
+- A `--recv-key`/`--lsign-key` és az URL-es `pacman -U` kulcsletöltések törölve a
+  `shellprocess-before`/`branding` configokból; a `raveos-keyring` csomag adja a
+  kulcsot, a `chaotic-keyring` + `chaotic-mirrorlist` a pacstrap listába került.
+
+#### `[theme]` chown szűkítés + `.SRCINFO` szinkron
+- Mind a 4 apply script célzott chown-t használ a teljes `.config`/`.local`
+  rekurzív átírása helyett.
+- `.SRCINFO` újragenerálva mind a 4 témacsomagra (pkgrel, conflictek, pkgdesc).
+
+#### `[app]` Supply-chain pinning
+- Vencord installer: fix `v1.4.2` + SHA256 ellenőrzés a `latest/download` helyett.
+- `update-proton-ge` és `corectrl.ini` letöltés után `sha256sum -c` ellenőrzés.
+
+#### `[iso]` Takarítás
+- Calamares Brave profil 53 MB → 14 MB (Safe Browsing, NTP images és egyéb
+  cache-komponensek törölve).
+- Plymouth `pkg/` + `.pkg.tar.zst`, SDDM `.bak` fájlok és a `.DS_Store`-ok
+  törölve a repóból.
+
+## Build 2026-09-07
+
+#### `[theme]` Új GNOME2 témacsomag + telepítő bejegyzés
+- Új `raveos-gnome2-theme` csomag: modern, kaszkádolt GNOME téma, ami nem írja
+  felül a felhasználó egyéni beállításait (rendszerszintű dconf/gschema réteg,
+  `/usr/share/themes` és `/usr/share/icons` Flatpak/root kompatibilitással).
+- `desktopselect.conf`: új **GNOME2 Desktop** opció a témaválasztóban, ami a
+  `raveos-gnome2-theme` csomagot telepíti a netről (raveos-core-repo).
+- `shellprocess-final.conf`: GNOME2 auto-apply hívás hozzáadva.
+- CI workflow: `raveos-gnome2-theme` build + publish lépés hozzáadva.
+
 ## Build 2026-08-13
 
 #### `[theme]` COSMIC billentyűzet-kiosztás javítás
@@ -280,7 +360,7 @@ Arch Linux alapú egyedi disztribúció tőbb asztali környezettel, automatizá
 - Automatikus frissítési rendszer Forgejo repositoryból
 - Chaotic-AUR és yay-bin előtelepítve
 
----
+
 
 ### Pre-Beta (2026-01 → 2026-02)
 
@@ -288,7 +368,7 @@ Arch Linux alapú egyedi disztribúció tőbb asztali környezettel, automatizá
 
 `[kernel]` CachyOS kernel teljesítmény javításokkal · DKMS támogatás külső modulokhoz (broadcom-wl-dkms) · linux-headers modulépítéshez
 
----
+
 
 ## Mappa struktúra
 
diff --git a/releng/airootfs/etc/pacman.conf b/releng/airootfs/etc/pacman.conf
index 6d3a00f..6e07afe 100644
--- a/releng/airootfs/etc/pacman.conf
+++ b/releng/airootfs/etc/pacman.conf
@@ -39,7 +39,7 @@ Color
 #CheckSpace
 #VerbosePkgLists
 ILoveCandy
-ParallelDownloads = 5
+ParallelDownloads = 10
 #DownloadUser = alpm
 #DisableSandbox
 
diff --git a/releng/airootfs/etc/polkit-1/rules.d/49-nopasswd_global.rules b/releng/airootfs/etc/polkit-1/rules.d/49-nopasswd_global.rules
index cca8039..0e28a70 100644
--- a/releng/airootfs/etc/polkit-1/rules.d/49-nopasswd_global.rules
+++ b/releng/airootfs/etc/polkit-1/rules.d/49-nopasswd_global.rules
@@ -1,8 +1,24 @@
-/* Allow members of the wheel group to execute any actions
- * without password authentication, similar to "sudo NOPASSWD:"
+/* RaveOS: a live telepito wheel csoportja csak a telepito mukodeshez
+ * szukseges action-oket futtathatja jelszo nelkul. A korabbi globalis
+ * "minden action engedelyezve" (polkit.Result.YES) eltavolitva.
  */
 polkit.addRule(function(action, subject) {
-    if (subject.isInGroup("wheel")) {
-        return polkit.Result.YES;
+    if (!subject.isInGroup("wheel")) {
+        return polkit.Result.NOT_HANDLED;
     }
+
+    var allowedPrefixes = [
+        "org.freedesktop.udisks2.",
+        "org.freedesktop.NetworkManager.",
+        "org.freedesktop.systemd1.",
+        "org.freedesktop.login1."
+    ];
+
+    for (var i = 0; i < allowedPrefixes.length; i++) {
+        if (action.id.indexOf(allowedPrefixes[i]) === 0) {
+            return polkit.Result.YES;
+        }
+    }
+
+    return polkit.Result.NOT_HANDLED;
 });
diff --git a/releng/airootfs/etc/shadow b/releng/airootfs/etc/shadow
index 824230b..4d87c35 100644
--- a/releng/airootfs/etc/shadow
+++ b/releng/airootfs/etc/shadow
@@ -1,2 +1,2 @@
-root::14871::::::
+root:!:14871::::::
 raveos:$6$jcfVB0VnKJYxHo7t$j/U9j8Civmx0O9f/mb1.nzw.BZLISLEKS.QwgOXNKWGpkLVisvP5Zfs4lcuzXglZBUAxj9oknnPBiCZOIgd25.:14871::::::
diff --git a/releng/airootfs/etc/ssh/sshd_config.d/10-archiso.conf b/releng/airootfs/etc/ssh/sshd_config.d/10-archiso.conf
deleted file mode 100644
index 6ea7b41..0000000
--- a/releng/airootfs/etc/ssh/sshd_config.d/10-archiso.conf
+++ /dev/null
@@ -1,3 +0,0 @@
-# Allow root login using password authentication
-PasswordAuthentication yes
-PermitRootLogin yes
diff --git a/releng/airootfs/etc/systemd/system/multi-user.target.wants/sshd.service b/releng/airootfs/etc/systemd/system/multi-user.target.wants/sshd.service
deleted file mode 120000
index d21ebd9..0000000
--- a/releng/airootfs/etc/systemd/system/multi-user.target.wants/sshd.service
+++ /dev/null
@@ -1 +0,0 @@
-/usr/lib/systemd/system/sshd.service
\ No newline at end of file
diff --git a/releng/airootfs/root/.automated_script.sh b/releng/airootfs/root/.automated_script.sh
deleted file mode 100755
index f7f3ced..0000000
--- a/releng/airootfs/root/.automated_script.sh
+++ /dev/null
@@ -1,44 +0,0 @@
-#!/usr/bin/env bash
-
-script_cmdline() {
-    local param
-    for param in $(</proc/cmdline); do
-        case "${param}" in
-            script=*)
-                echo "${param#*=}"
-                return 0
-                ;;
-        esac
-    done
-}
-
-automated_script() {
-    local script rt
-    script="$(script_cmdline)"
-    if [[ -n "${script}" && ! -x /tmp/startup_script ]]; then
-        if [[ "${script}" =~ ^((http|https|ftp|tftp)://) ]]; then
-            # there's no synchronization for network availability before executing this script
-            printf '%s: waiting for network-online.target\n' "$0"
-            until systemctl --quiet is-active network-online.target; do
-                sleep 1
-            done
-            printf '%s: downloading %s\n' "$0" "${script}"
-            curl "${script}" --location --retry-connrefused --retry 10 --fail -s -o /tmp/startup_script
-            rt=$?
-        else
-            cp "${script}" /tmp/startup_script
-            rt=$?
-        fi
-        if [[ ${rt} -eq 0 ]]; then
-            chmod +x /tmp/startup_script
-            printf '%s: executing automated script\n' "$0"
-            # note that script is executed when other services (like pacman-init) may be still in progress, please
-            # synchronize to "systemctl is-system-running --wait" when your script depends on other services
-            /tmp/startup_script
-        fi
-    fi
-}
-
-if [[ $(tty) == "/dev/tty1" ]]; then
-    automated_script
-fi
diff --git a/releng/packages.x86_64 b/releng/packages.x86_64
index 17371c4..1bac919 100644
--- a/releng/packages.x86_64
+++ b/releng/packages.x86_64
@@ -7,6 +7,7 @@ dkms
 linux-headers
 btrfs-progs
 cryptsetup
+ckbcomp
 dhcpcd
 diffutils
 dosfstools
@@ -40,7 +41,6 @@ mkinitcpio-archiso
 mtools
 nano
 ntfs-3g
-openssh
 parted
 refind
 reflector
diff --git a/releng/pacman.conf b/releng/pacman.conf
index 4fbacea..56babca 100644
--- a/releng/pacman.conf
+++ b/releng/pacman.conf
@@ -22,7 +22,7 @@ HoldPkg     = pacman glibc
 Architecture = auto
 
 # Pacman won't upgrade packages listed in IgnorePkg and members of IgnoreGroup
-#IgnorePkg = gnome-session gnome-console gedit gnome-disk-utility gnome-system-monitor eog gnome-calculator baobab gnome-control-center gnome-tweaks gnome-browser-connector gnome-settings-daemon nautilus gnome-shell-extensions mutter
+IgnorePkg = gnome-session gnome-console gedit gnome-disk-utility gnome-system-monitor eog gnome-calculator baobab gnome-control-center gnome-tweaks gnome-browser-connector gnome-settings-daemon nautilus gnome-shell-extensions mutter
 #IgnoreGroup =
 
 #NoUpgrade   =