Vendefoul Wolf The Distro That Isn't What It Says It Is Source Code Ep.25

SYNTHÈSE STRUCTURÉE

Brave Origin : un navigateur nettoyé, mais pas libre

Brave a publié Brave Origin, une version épurée de son navigateur, débarrassée de l’assistant IA, du programme de récompenses publicitaires, du portefeuille crypto, du VPN et du lecteur de flux. Il ne reste qu’un navigateur qui bloque les publicités et les traqueurs, reçoit ses mises à jour de sécurité, et c’est tout. L’intervenant souligne que « c’est exactement ce que les gens demandent d’un navigateur : naviguer, le faire vite, efficacement, avec une interface agréable et utilisable, et sans être espionné ». Cependant, il note que Brave Origin n’est pas un projet indépendant : il n’a pas son propre dépôt, ce n’est qu’une compilation allégée de Brave Core. Le détail qui le fait réfléchir est le modèle de licence : gratuit sur Linux, payant (59,99 $) sur Windows, Mac, Android et iOS. Il s’interroge : « Si quelque chose doit être payé, que ce soit payé par tout le monde. Et finissons-en avec cette histoire que c’est gratuit pour Linux parce que Linux n’est pas gratuit. Quelqu’un paie toujours le prix. »

Gnome et les fonds d’écran multiples : le retard face à KDE

L’intervenant rapporte avec ironie que la possibilité d’avoir des fonds d’écran différents sur plusieurs écrans, une fonctionnalité présente depuis des années sur KDE, est une nouveauté dans le monde Gnome. Mais le plus frappant est que ce n’est pas Gnome qui l’implémente : c’est un code expérimental, une preuve de concept écrite par un développeur externe, avec l’aide de l’IA, qui n’a même pas atteint le stade de merge request officiel. Il commente : « Pour vous donner une idée entre les lignes de la bulle dans laquelle Gnome vit depuis longtemps, alors que KDE est des années-lumière en avance. »

IOD : un Android dégooglisé plus humain

Le projet IOD est présenté comme une version « dégooglisée » d’Android basée sur Lineage OS, visant à rendre le smartphone plus humain en éliminant les intrusions du moteur de recherche dominant. L’intervenant détaille son fonctionnement : un bloqueur de traqueurs intégré qui agit comme un pare-feu sans occuper le slot VPN, l’absence du Google Play Store remplacé par F-Droid et Aurora Store, l’utilisation de MicroG pour les applications bancaires, un verrouillage du bootloader quand le fabricant le permet, des mises à jour de sécurité mensuelles, plus de 60 appareils supportés, et une philosophie de durabilité (appareils reconditionnés, Fairphone). Il conclut : « Avoir un téléphone qui coupe ceux qui vous surveillent et qui le fait avec ce genre de soin, c’est tout simplement une bonne nouvelle. »

Vendifoul Wolf : une distribution qui se vend comme sécurisée, mais ne l’est pas

L’intervenant consacre la majeure partie de la vidéo à analyser Vendifoul Wolf, une distribution basée sur Devuan qui cible les utilisateurs en quête de confidentialité et de sécurité. Il reconnaît l’effort de rebranding (10 éditions, dépôt propre, outils maison, intégration de XLibre), mais dénonce un écart béant entre le discours et la réalité technique. Il prévient : « Quand un projet se vend à des gens qui cherchent la vie privée et la sécurité, il doit avoir la vie privée et la sécurité, pas les écrire. »

L’absence de télémesure n’est pas l’anonymat

Le projet fonde sa promesse de confidentialité sur trois éléments : pas de télémétrie, Librewolf par défaut, KeePassXC préinstallé. L’intervenant démonte ce raisonnement : « L’absence de télémétrie dans le système d’exploitation n’a rien à voir avec l’anonymat sur le réseau. Vendre “pas de télémétrie = anonyme”, c’est comme dire que fermer les rideaux chez soi vous rend intraçable dans la rue. » L’anonymat est une propriété du modèle de menace et de la couche réseau (Tor, routage, empreinte du navigateur), pas de l’absence d’envoi de données système.

Des mots de passe par défaut catastrophiques

Les images de Vendifoul Wolf sont livrées avec des identifiants fixes publiés ouvertement : utilisateur lobo, mot de passe 12 ; root, mot de passe 1234. L’intervenant est cinglant : « Une distribution qui met le mot sécurité dans sa revendication fondatrice livre une image avec root en 1234. Elle se réfute elle-même dans le texte de sa propre page d’accueil. » Un utilisateur a rapporté que l’installation d’applications depuis le lanceur demande le mot de passe du compte lobo, soit 12.

Intégrité des téléchargements : SHA256 seul, pas de signature GPG

Sur le site officiel, les ISO ne sont accompagnés que d’une somme de contrôle SHA256, sans signature GPG ni clé de vérification du projet. Pire, les éditions SonicD et Trinity affichent exactement le même SHA256, alors qu’il s’agit de deux ISO différents (bureaux différents, dates différentes). L’intervenant note : « Soit c’est un copier-coller bâclé, soit leur mécanisme de vérification est cassé. Dans les deux cas, sur une distribution qui agite le drapeau de la sécurité, c’est un but contre son camp spectaculaire. »

Le noyau « personnalisé » : un argument marketing vide

Le projet revendique un noyau « custom Vendifoul kernel ». En consultant la liste des paquets, l’intervenant constate qu’il s’agit simplement d’un noyau mainline récent (6.18 sur l’édition Excalibur, 7.0 sur Virat), sans aucun durcissement documenté, sans configuration de sécurité publiée, sans GRSecurity. Il résume : « Personnalisé signifie ici recompilé et renommé. Si le mot sécurité avait un sens, le noyau serait le premier endroit où le montrer. »

XLibre par défaut : un choix risqué présenté comme une fonctionnalité de sécurité

Vendifoul Wolf impose XLibre comme serveur d’affichage par défaut sur toutes ses éditions. L’intervenant rappelle que XLibre est un fork d’Xorg né en juin 2025, porté essentiellement par un seul développeur, avec des correctifs que les mainteneurs d’Xorg avaient rejetés car non testés et cassants. Le projet lui-même recommande de garder un accès SSH distant ou un minuteur pour ne pas rester bloqué au premier démarrage. L’intervenant conclut : « Pour une distribution qui met la sécurité dans sa revendication fondatrice, remplacer une pile graphique héritée mais largement revue par un fork jeune sous revue essentiellement individuelle, c’est exactement l’inverse d’un choix de sécurité conservateur. »

Infrastructure quasi inexistante

DRWatch liste pour Vendifoul Wolf : pas de liste de diffusion, pas de forum utilisateur, pas de documentation, pas de bug tracker. Les seuls canaux sont X et Telegram. La distribution passe par SourceForge et Torrent sur archive.org, sans miroirs propres, sans versions signées. Le projet déclare avec fierté ne recevoir ni contributions ni dons. L’intervenant commente : « C’est la confirmation écrite que derrière le mot sécurité, il n’y a ni structure, ni processus de divulgation, ni financement, ni équipe faisant de l’assurance qualité sur 10 images différentes. »

Le test utilisateur : Devuan nu est plus stable et plus rapide à configurer

Un utilisateur de DRWatch a testé systématiquement les images. Résultats : SonicD et Trinity ne s’installent pas sur du