Je travaille depuis quelque temps sur Elpe, un projet qui vise à obtenir les bonnes propriétés de Nix/NixOS (les mises à jour atomiques, la reproductibilité), mais avec des paquets Ubuntu.

Le code : https://nest.pijul.com/pmeunier/elpe

L'idée est de définir des recettes de compilation en OCaml et de les envoyer à un backend Rust, qui se charge de les exécuter dans un conteneur sans réseau, en exposant uniquement le contexte nécessaire à la bonne exécution de la compilation. Les produits du build sont indexés par le contenu de la recette du build, et indexés une deuxième fois par le résultat : c'est ce deuxième hash qui est utilisé dans les dépendants du paquet, ce qui permet de construire un arbre de Merkle du système complet (et non seulement de ses sources), qui rend toute modification ultérieure facilement détectable.

De plus, le système de base provient des dépôts de paquet Debian ou Ubuntu. Cependant, tous les chemins sont hard-codés (comme dans Nix), ce qui permet de garantir la reproductibilité, au détriment toutefois du coût de mise à jour en termes d'espace et opérations disque.

Si le choix de Rust devient relativement consensuel par les temps qui courent, OCaml est plus surprenant. Après divers essais avec plusieurs langages, je l'ai choisi parce que c'est le seul langage avec à la fois :

• Une bonne approximation du système de types dont j'avais besoin: typage nominal et aussi structurel, entre autres.
• Un système de types relativement simple (pas de typeclasses ni de monades comme en Haskell, de borrow checkers comme en Rust ni de types dépendants comme en TypeScript).
• Du late binding, nécessaire pour exprimer des "overrides" et des "hooks", courants quand on veut compiler des choses (autoconf et make ont plein d'options de ce type, par exemple).
• Un compilateur ultra-rapide.
• Un bytecode, pour (dans le futur) contrôler aussi l'isolation du code de build de façon très légère.

La simplicité et l'expressivité d'OCaml sont bien adaptés à ce projet: les fonctions simples à concevoir y sont relativement claires à énoncer.

Pourquoi pas NixOS, me direz-vous ? En tant qu'utilisateur et contributeur depuis environ 10 ans, un certain nombre de problèmes plus ou moins récents m'ont motivé à explorer une alternative:

• En termes de gouvernance, la communauté a traversé dans la dernière année plusieurs crises de différentes tailles (Anduril, Devenv…). On pourrait y voir un signe de maturation ou au moins de croissance du projet, mais plusieurs éléments me permettent d'en douter, dont les réactions répétées de la fondation Nix, qui semble avoir beaucoup de mal à comprendre les messages pourtant clairs des contributeurs.

• Je vois aussi les choix de design imposés par les fondateurs du projet depuis quelques années comme un bien mauvais signe: les flakes (en 2020) étaient une première incarnation de cette tendance, et plus récemment la "distribution propriétaire" de Nix est clairement une mauvaise idée, alors que la qualité de code de Nix n'est pas au niveau où on l'attendrait et que le gros du projet repose depuis plusieurs années sur le travail pharaonique des contributeurs de Nixpkgs.

• On pourrait parler longtemps de la sécurité de Nix, qui me fait de plus en plus peur y compris pour mon usage personnel. Les process de gestion des rapports ne me conviennent pas, de même que l'opacité de certains choix techniques (les flags de compilation désactivés sur certaines plateformes, entre autres), souvent bien cachés dans les entrailles de Nixpkgs.

• Enfin, le langage trop complexe à utiliser (principalement par manque de typage statique et de messages d'erreurs pertinents) rend Nix difficile à utiliser au sein d'une organisation d'une taille importante, et encourage les comportements peu inclusifs (éviter d'écrire de la doc, inventer des casse-têtes pour faire des choses simples…). Je suis bien sûr conscient que des entreprises (comme Anduril) et des ONGs (comme Médecins Sans Frontières) l'utilisent, mais je ne pense pas que ce soit généralisable aux situations où j'aimerais voir ce genre de projet utilisé.

Cette revue de presse sur Internet fait partie du travail de veille mené par l’April dans le cadre de son action de défense et de promotion du logiciel libre. Les positions exposées dans les articles sont celles de leurs auteurs et ne rejoignent pas forcément celles de l’April.

• [InformatiqueNews.fr] Open source + ERP: un socle technique agile pour ESN
• [BFMtv] Comment un logiciel open source a permis l'attaque ukrainienne contre les bombardiers russes
• [ZDNET] Comment les agents d'IA pour le codage pourraient infiltrer et détruire les logiciels libres
• [Le Canard enchaîné] Dépense publique: Microsoft fait les poches des flics (€)
• [Next] Murena lance son système mobile open source et dégooglisé /e/OS 3.0
• [Next] SecNumCloud: pour l'ANSSI, «rien ne s'oppose» à la qualification de Bleu et S3ns
• [Science et vie] Ces logiciels Open Source sont à adopter urgemment si vous voulez vous libérer de Facebook et Google
• [ZDNET] Partage de vidéos: Framasoft lance un financement participatif pour PeerTube

[InformatiqueNews.fr] Open source + ERP: un socle technique agile pour ESN

✍ Romain Greffier, le vendredi 6 juin 2025.

ERP data-centric et open source: un duo stratégique pour les ESN, entre agilité, personnalisation et souveraineté technologique.

[BFMtv] Comment un logiciel open source a permis l'attaque ukrainienne contre les bombardiers russes

✍ Théotim Raguet, le jeudi 5 juin 2025.

Une attaque massive de drones ukrainiens a détruit plusieurs avions russes ce dimanche 1er juin. Le pilote automatique des engins est en réalité un logiciel que n’importe qui peut télécharger.

[ZDNET] Comment les agents d'IA pour le codage pourraient infiltrer et détruire les logiciels libres

✍ David Gewirtz, le mardi 3 juin 2025.

Imaginez qu’une seule ligne de code malveillante échappe à vos yeux fatigués et que toute votre application soit soudain compromise. Oui, les agents d’IA pourraient être les saboteurs silencieux de la prochaine grande crise de cybersécurité.

[Le Canard enchaîné] Dépense publique: Microsoft fait les poches des flics (€)

✍ Odile Benyahia-Kouider, Christophe Labbé, le mardi 3 juin 2025.

Contrairement à leurs homologues de la gendarmerie, qui ont commencé à changer de logiciel dès 2009, les poulets se sont embourbés avec Microsoft et continuent de raquer plus de 7 millions tous les ans. Résultat : ils vont devoir mettre à la poubelle 25 000 ordinateurs, dont le système d’exploitation sera bientôt obsolète.

[Next] Murena lance son système mobile open source et dégooglisé /e/OS 3.0

✍ Vincent Hermann, le mardi 3 juin 2025.

Fondée par Gaël Duval, la société française Murena vient de lancer la troisième version majeure de son système d’exploitation mobile /e/OS. Les nouveautés sont nombreuses et dans la lignée des améliorations dont nous avait parlé le fondateur en février: un renforcement des protections de la vie privée, des services et de la collaboration.

[Next] SecNumCloud: pour l'ANSSI, «rien ne s'oppose» à la qualification de Bleu et S3ns

✍ Sébastien Gavois, le mardi 3 juin 2025.

Vincent Strubel, directeur général de l’ANSSI, était auditionné la semaine dernière par une Commission d’enquête du Sénat sur «les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d’entraînement sur l’économie française».

[Science et vie] Ces logiciels Open Source sont à adopter urgemment si vous voulez vous libérer de Facebook et Google

✍ Auriane Polge, le lundi 2 juin 2025.

Plus qu’une tendance marginale, l’adoption massive d’outils collaboratifs ouverts s’impose dans tous les secteurs, du grand public aux institutions. Ils offrent des réponses concrètes aux enjeux de souveraineté numérique, d’éthique technologique et de respect des utilisateurs. En 2025, difficile de les ignorer.

[ZDNET] Partage de vidéos: Framasoft lance un financement participatif pour PeerTube

✍ Thierry Noisette, le samedi 31 mai 2025.

L’association libriste veut améliorer l’appli mobile de sa solution libre et décentralisée de partage de vidéos.