# iSecOS Changelog

> Toàn bộ lịch sử phiên bản từ alpha1 đến alpha7. Chi tiết từng bản phát hành
> xem `RELEASE-NOTES-*.md` ở gốc repo; bằng chứng kiểm chứng xem
> `docs/phase2-report.md` và `test/screenshots-*`.

## 1.0-alpha7 (2026-11-06)

### Added
- `isecos-upgrade`: Nâng cấp version không cần cài lại (GPG-verified)
- `isecos-report`: Crash/bug/feedback reporting tự động (15 phút/lần)
- `isecos-migrate`: Di chuyển dữ liệu từ Windows (files, email PST, bookmarks)
- `isecos-backup`: System backup/restore với timeshift/rsync
- `isecos-info`: System info display
- `isecos-freeze`: Disk freeze (khóa /etc /opt /usr)
- `isecos-reset`: Factory reset
- `isecos-whitelist`: App whitelist control
- GTK graphical installer mặc định (5s timeout)
- USB persistence support
- Wine + winetricks: Chạy phần mềm Windows
- Locale cleanup: Chỉ VI + EN (tiết kiệm ~500MB)
- Boot optimization: GRUB 2s, sysctl tuning, kernel compressed
- Security monitoring: file access, USB, DNS, login, app usage
- Crash reporting: kernel errors, service failures, app crashes
- 9 new policies: disk freeze, factory reset, app whitelist, screen time, etc.
- Portal: Material Design 3, song ngữ VI/EN, dark mode, real-time 5s
- Backend: Prometheus metrics, health endpoints, crash report API

### Changed
- Apps giữ tên gốc (Chromium, LibreOffice — bỏ iSecBrowser/iSecOffice)
- APT sources chỉ từ isecos.isecurity.vn (không Debian)
- Brand MotaX: VERSION_CODENAME=motax, xóa /etc/debian_version

### Fixed
- Portal blank page (asset paths, router basename)
- /api/docs Swagger loading
- /logs redirect port 8090 bug

## 1.0-alpha6 (2026-11-06)

### Added
- **`isecos-upgrade` — nâng cấp tại chỗ, không cần cài lại ISO**: máy đã cài
  alpha nâng cấp thẳng `alpha6 → alpha7 → … → 1.0 stable` qua apt; lệnh
  `status / check / apply / apply --force`; chuỗi xác thực GPG 3 tầng bắt buộc
  (chữ ký InRelease → SHA256 Packages → SHA256 từng `.deb`), không thể bỏ qua
  kể cả `--force`; backup `/etc/os-release` vào `/var/backups/isecos/` (giữ
  10 bản); log `/var/log/isecos-upgrade.log`; xử lý đúng thứ tự phiên bản dpkg
  (`1.0~alpha5 < 1.0~alpha6 < 1.0`).
- **Gói `isecos-base`** (sở hữu `/etc/os-release`) trên repo
  `https://isecos.isecurity.vn/apt/isecos/` (suite `mota-x`, ký GPG) — cơ chế
  bump phiên bản OS không cần phát hành ISO.
- **Bộ cài đồ họa GTK là mặc định trên menu boot** (cả BIOS/isolinux lẫn
  UEFI/GRUB), tiếng Việt, tự chạy sau 5 giây (alpha5: mặc định Live system, chờ
  vô hạn). Bộ cài text chuyển vào *Advanced options*; profile server giữ bộ cài
  text.
- **USB Live lưu bền vững (persistence)**: tham số kernel `persistence` rải vào
  mọi mục *Live system*; dò phân vùng label `persistence` +
  `persistence.conf` (`/ union`) — thay đổi phiên Live giữ lại sau reboot.
- **Cổng quản trị iSec Control Center** (`https://isecos.isecurity.vn/portal/`):
  Material Design, song ngữ Việt/Anh, chế độ sáng/tối; đủ 8 trang (Tổng quan,
  Thiết bị đầu cuối, Chính sách, Quét lỗ hổng, Điều khiển từ xa, Báo cáo, Nhật
  ký kiểm tra đọc từ `agent_events` thật, Cài đặt); admin bật/tắt chính sách →
  agent (`isecos-agent`, timer 5 phút) kéo về và áp dụng thật qua
  `isecos-nac` / `isecos-dlp`.
- **Mirror hệ thống riêng**: `https://isecos.isecurity.vn/apt/os/` (suite
  `mota-x`, `mota-x-security`, `mota-x-updates`) — toàn bộ phần mềm máy iSecOS
  chỉ từ `isecos.isecurity.vn`.

### Changed
- Brand **MotaX**: os-release `iSecOS 1.0-alpha6 (MotaX)`.
- Secure Boot: ISO boot được trên máy SB=on (shim+grub ký Microsoft/Debian,
  kiểm chứng OVMF enforce).
- Ký số phát hành toàn bộ ISO + SHA256SUMS bằng key
  `33D452CF996BC87150D291AB00F623A3E6B35107` (*iSecOS Release*).

### Known Issues
- Mirror `/apt/os/` đang đồng bộ (~60–80 GB) — `apt update` đầy đủ sau khi
  mirror xong; trước đó ISO cài bình thường (gói có trên đĩa).
- Bản phát hành chỉ amd64 (desktop + server); arm64 trở lại bản sau.
- NAC enforce bật trên máy chưa 802.1X sẽ chặn SSH (default-deny đúng thiết
  kế) — tắt bằng `sudo isecos-nac enforce off` hoặc từ portal.

## 1.0-alpha5 (2026-11-06)

### Changed
- **Bỏ mật khẩu lab khỏi installer**: bộ cài chỉ hỏi đúng 2 thông tin của
  người dùng — **mật khẩu người dùng** (`isecos`, cũng là sudo) và
  **passphrase LUKS**; toàn bộ phần còn lại tự động theo preseed; cài xong tự
  tắt máy.
- Mã hóa đĩa (LUKS2 + LVM + /boot riêng 512 MB) vẫn là mặc định từ ISO.

### Removed
- Các mật khẩu lab nhúng sẵn trong preseed các bản alpha trước (rủi ro khi ra
  ngoài môi trường lab).

## 1.0-alpha4 (2026-11-05)

### Added
- **Mã hóa đĩa mặc định ngay trong ISO phát hành**: preseed LUKS2+LVM+TPM2
  bake sẵn vào initrd installer (`includes.installer/preseed.cfg` — single
  source). "Start installer" = cài tự động mã hóa; cơ chế hoán đổi initrd
  ISO-TEST (p2-isofix) không còn cần.
- **Enroll TPM 2 đường** (helper chung `/usr/sbin/isecos-tpm-enroll`):
  - *Lab/cài tự động*: late_command đặt key 0600 → firstboot tự enroll.
  - *Production/cài tương tác*: **hộp thoại GTK lần đăng nhập đầu**
    (`tpm-enroll-prompt.py` qua /etc/xdg/autostart + pkexec + polkit
    `isecos.tpm-enroll`) — nhập passphrase đĩa một lần, từ boot sau không cần
    gõ; từ chối thì không hỏi lại (marker
    `/var/lib/isecos/tpm-enroll.declined`).
  - Passphrase enroll chỉ đi qua tmpfs `/run`, không chạm đĩa.
- Pool ISO mang sẵn stack clevis + `python3-gi` cho dialog.

### Verified
- E2E 4 phase từ chính ISO ship (không hoán đổi initrd): install tự động mã
  hóa (12 phút, tự poweroff) → boot#1 prompt + firstboot enroll
  (`ENROLL-TPM-OK`, token slot 2 `pcr_ids=7`) → **boot#2 không prompt, thẳng
  GDM (TPM auto-unlock)** → fallback: xóa TPM state vẫn mở bằng passphrase.

### Known Issues
- Dialog GTK enroll ship + syntax-verified nhưng chưa chạy visual E2E (cần
  phiên cài tương tác); server ISO vẫn preseed thường (chưa bake mã hóa).

## 1.0-alpha3 (2026-11-05)

### Added
- **Agent Control Center ship sẵn trong ISO** (hook
  `066-cc-agent-shared.chroot`): boot lần đầu tự enroll về CC
  (`isecos-agent` bash + timer 5 phút + audit), thu posture MFA/NAC/DLP, chấp
  nhận policy từ console — E2E verify từ chính ISO phát hành (live boot →
  enroll, endpoint `os_version=iSecOS 1.0-alpha3`, status online).
- **Pool ISO có stack clevis TPM2** (`isecos-crypto-tpm.list.binary`).
- **Enroll TPM2 chuyển sang first-boot** (kernel debian-installer không có
  module TPM): firstboot tự cài clevis, `clevis luks bind` PCR7, rebuild
  initramfs — chứng minh E2E trên QEMU+swtpm (boot#2 không cần passphrase).
- **Bộ key phát hành mới** (chuyển máy build, key cũ kẹt máy cũ): release
  `33D452CF996BC87150D291AB00F623A3E6B35107`, apt `938CDF910A3E21FD`; toàn bộ
  ISO ký lại.

### Fixed
- Preseed mã hóa: keyfile không còn `\n` (`--key-file` lấy nguyên văn bytes);
  mount `/dev /proc /sys` vào target TRƯỚC `luksAddKey`; `late.log` trace bật
  mặc định.

## 1.0-alpha2 (2026-11-03)

### Added
- **P2-A Hardening hệ thống (CIS-style)**: auditd enabled + rules
  `90-isecos.rules`; sysctl `dmesg_restrict=1`, `kptr_restrict=2`,
  `protected_fifos=2`, `rp_filter=1`, `ptrace_scope=1`; modprobe deny
  filesystem cũ (cramfs/freevxfs/hfs/hfsplus/jffs2); `umask 0027`;
  `unattended-upgrades`; thêm rsyslog + chrony + logrotate + rule audit sudo
  (hook 020).
- **P2-B AppArmor**: ~125 profile (24 enforce); 5 profile iSecOS riêng cho
  chromium, keepassxc, remmina, thunderbird, vlc; hook build fail nếu profile
  lỗi grammar.
- **P2-E Apt repository nội bộ**: keyring `/etc/apt/keyrings/isecos.gpg` +
  `isecos.sources`; `apt update` lấy repo aptly không NO_PUBKEY; GoChat
  (`gochat-desktop`) cài qua repo (vá bug live-installer purge nhầm).
- **P2-G/H/I — MFA · NAC · DLP** (yêu cầu "chính phủ / lực lượng an ninh"):
  - *MFA*: TOTP (google-authenticator) + FIDO U2F + smart card PIV/CCCD áp
    cho console, sudo, SSH; 10 mã recovery; CLI `isecos-mfa
    enroll|status|disable|repair`.
  - *NAC*: supplicant 802.1X EAP-TLS; CLI `isecos-nac
    status|enforce|posture-check`; bảng nftables `inet isecos_nac`
    default-deny khi chưa xác thực + service + timer 60s.
  - *DLP*: usbguard — USB storage chặn mặc định, HID luôn hoạt động; tắt
    automount; CLI `isecos-dlp status|allow-usb-storage|deny-all-storage`.
- **P2-C LUKS2 + TPM2**: preseed tạo LUKS2 (aes-xts) + LVM + /boot riêng;
  slot recovery; kiến trúc clevis tpm2 (PCR7) chốt sau khi xác nhận
  cryptsetup Debian không có TPM2 built-in.

### Verified
- OpenSCAP (hệ ĐÃ CÀI): profile standard ~70% PASS (31/9/4); ANSSI BP28
  intermediary ~58,5% PASS (117/81/26).
- Secure Boot (P2-D): ISO hardened boot tới live GNOME trên OVMF
  `secboot` + `ms-vars` enforce (không Security Violation).
- Hardened rebuild + ký GPG (11-03 19:03, hash `8b95af42…`); cài tự động từ
  ISO rc=0 (~8 phút).

### Fixed
- Sự cố usbguard-daemon crash-loop do hook sed dòng keyword trần — đổi dạng
  `Key=Value` + verify syntax ngay trong hook; ISO rebuild + ký lại.
- Lỗi preseed grub-installer/bootdev `(hd0)` từ alpha1 — fix `/dev/sda`.

## 1.0-alpha1 (2026-10-24)

### Added
- Bản phát hành đầu tiên. Base: **Debian 13 "Trixie"** (kernel 6.12 LTS),
  GNOME 48 (Wayland), locale mặc định `vi_VN` + ibus-unikey, timezone
  `Asia/Ho_Chi_Minh`.
- Thương hiệu iSecOS toàn bộ bề mặt: os-release, menu boot (splash lá chắn),
  Plymouth, logo installer (d-i GTK), issue/motd, GRUB_DISTRIBUTOR, dock +
  wallpaper + dark mode.
- 2 profile: **Desktop** (GNOME + bộ app văn phòng) và **Server** (không
  desktop, Docker + Compose + SSH + ufw deny-in + AppArmor/auditd).
- 4 bản build: desktop & server × amd64 & arm64 (arm64 cross-build
  qemu-user-static, boot UEFI).
- Hardening baseline: sysctl (kptr/dmesg/ptrace/bpf), AppArmor, auditd,
  pam-pwquality, hỗ trợ USB token ký số (opensc/pcscd).
- Ký phát hành: 4/4 ISO `Good signature` + `SHA256SUMS.txt`.

### Known Issues
- Lỗi preseed grub-installer/bootdev `(hd0)` — cài tự động trên BIOS fail
  bước GRUB (đã fix trong preseed cho alpha2).
- GRUB boot menu arm64 còn chữ "Debian"; wizard d-i chưa tiếng Việt; kernel
  banner còn chữ Debian — backlog các bản sau.

---

*Cập nhật cho bản mới: thêm mục mới nhất lên đầu, giữ nguyên tệp
`RELEASE-NOTES-*.md` làm nguồn chi tiết. Góp ý: isecos@isecurity.vn*