AGHOS // WHITE

AGHOS (Arch Greybeards Hall Operating System) jest dystrybucją Linuksa opartą na Arch Linux, którą tworzy Łukasz Gołek a pomagają Studenci Koła Naukowego „Ceramit" i różnych Wydziałów AGH w Krakowie. System adresuje specyficzne potrzeby środowiska akademickiego: pełną kontrolę nad danymi, ochronę prywatności w kontekście oprogramowania własnościowego, minimalizm konfiguracyjny oraz łatwy deployment na stacjach laboratoryjnych. Niniejszy dokument opisuje architekturę, filozofię projektową oraz kluczowe decyzje techniczne systemu.

Problem i motywacja

Środowisko akademickie wymaga jednocześnie dostępu do nowoczesnych narzędzi biurowych i komunikacyjnych (WPS Office, Microsoft Teams) oraz ochrony wrażliwych danych badawczych. Komercyjne dystrybucje Linuksa integrują te aplikacje bez izolacji — dając im swobodny dostęp do systemu plików i sieci. Dystrybucje korporacyjne narzucają własny cykl wydań i polityki aktualizacji, co ogranicza autonomię użytkownika.

AGHOS odpowiada na ten problem: umożliwia uruchamianie oprogramowania własnościowego w piaskownicy, zachowując jednocześnie pełną elastyczność Arch Linux i kontrolę nad każdym aspektem systemu. Dodatkową motywacją jest cel dydaktyczny — system ma być narzędziem nauki, a nie czarną skrzynką.

Architektura systemu

System zbudowany jest na Arch Linux w modelu rolling release, co zapewnia dostęp do najnowszych wersji oprogramowania bez wymuszonego cyklu wydań. Decyzja o wyborze Arch Linux jako bazy wynika z filozofii KISS (Keep It Simple, Stupid) — żadnych zbędnych warstw abstrakcji, żadnych skryptów inicjalizacyjnych ukrytych przed użytkownikiem. Każda konfiguracja jest eksplicytna i edytowalna.

Warstwa	Technologia	Uzasadnienie wyboru
Baza systemu	Arch Linux (rolling)	Maksymalna aktualność pakietów, minimalizm, pełna kontrola
Kernel	linux-zen	Optymalizacje responsywności dla desktopów i stacji roboczych
Init system	systemd	Standard de facto — spójność z resztą ekosystemu
Filesystem	btrfs (/, /home)	Copy-on-Write, snapshoty, transparentna kompresja
Bootloader	GRUB 2	Obsługa UEFI i BIOS/MBR, multiboot, rescue shell
Package manager	pacman + paru	pacman: oficjalne repo; paru: AUR bez kompromisów prywatności
Shell	zsh + Powerlevel10k	Rozbudowane autouzupełnianie, historia, wizualny feedback
Display server	Wayland / X11	KDE Plasma obsługuje oba; X11 jako fallback dla starszego sprzętu

Model bezpieczeństwa i prywatności

AGHOS przyjmuje zasadę minimalnego zaufania wobec oprogramowania własnościowego. Żadna aplikacja zamkniętoźródłowa nie otrzymuje nieograniczonego dostępu do sieci ani systemu plików. Podstawowym narzędziem egzekwowania tej polityki jest Firejail — lekki system profilów sandboxingu oparty na Linux namespaces i seccomp.

Izolacja kontenerowa — Firejail

WPS Office uruchamiany jest z opcją --net=none, co całkowicie blokuje dostęp aplikacji do sieci — uniemożliwiając wysyłanie dokumentów, danych licencyjnych i statystyk użycia do serwerów Kingsoft. Microsoft Teams izolowany jest analogicznie, z ograniczonym dostępem do systemu plików (tylko katalog domowy i katalogi robocze). Firejail działa na poziomie przestrzeni nazw jądra (Linux namespaces) — nie wymaga uprawnień roota i nie wprowadza mierzalnego narzutu wydajnościowego.

Telemetria i prywatność danych

System nie zawiera żadnego mechanizmu zbierania danych użytkowania wysyłanych do twórców dystrybucji. Identyfikator machine-id jest kasowany przy instalacji i generowany unikalnie dla każdej instancji — brak możliwości korelacji między instalacjami. Konfiguracja SDDM wyłącza autologowanie w zainstalowanym systemie. Wszystkie usługi sieciowe wymagają jawnego uruchomienia przez użytkownika.

Środowisko desktopowe

Jako środowisko graficzne wybrano KDE Plasma ze względu na wyjątkową konfigurowalność, dojrzałość projektu i pełną obsługę Waylanda przy zachowaniu kompatybilności z X11. Środowisko skonfigurowane jest z myślą o ergonomii pracy akademickiej.

KDE Plasma

Kompletne środowisko desktopowe z Waylandem jako domyślnym backendem. Niski footprint pamięci przy zachowaniu pełnej funkcjonalności.

Wygląd i motywy

Schemat kolorów Breeze Dark. Własna tapeta AGHOS na pulpit i ekran blokady. Ikony z zestawu Breeze.

Konfiguracja domyślna

Układ klawiatury: PL (programisty). Pasek zadań z szybkim dostępem do WPS Writer, Calc, Impress, Konsole i Dolphin.

Ekran powitalny

Przy pierwszym logowaniu uruchamia się aplikacja aghos_welcome — okno powitalne jednorazowe, usuwające własny autostart po zamknięciu.

Preinstalowane oprogramowanie

Obraz systemu zawiera kompletny zestaw narzędzi gotowy do pracy akademickiej bezpośrednio po instalacji — bez konieczności doinstalowywania podstawowego oprogramowania.

Pakiet	Kategoria	Uwagi
KDE Plasma	Środowisko graficzne	Pełny zestaw aplikacji KDE: Dolphin, Konsole, Kate, Spectacle
Firefox	Przeglądarka	Domyślna przeglądarka; bez modyfikacji polityki prywatności
WPS Office	Pakiet biurowy	Instalowany po instalacji systemu; Firejail `--net=none`
Microsoft Teams	Komunikacja	Firejail z ograniczonym dostępem FS; sieć dozwolona
Element (Matrix)	Komunikacja	Klient protokołu Matrix; szyfrowana komunikacja wydziałowa
paru	Menedżer AUR	Helper AUR bez zbierania statystyk; następca yay
Firejail	Bezpieczeństwo	Profile sandboxingu dla aplikacji własnościowych
NetworkManager	Sieć	Zarządzanie WiFi i Ethernet; nmcli używany w instalatorze
SDDM	Display Manager	Ekran logowania; autologowanie wyłączone po instalacji

Repozytorium [aghos]

Własne repozytorium pacmana [aghos] zawiera pakiety specyficzne dla potrzeb Wydziału Inżynierii Materiałowej i Ceramiki, niedostępne lub nieodpowiednio skonfigurowane w oficjalnych repozytoriach Arch Linux. Repozytorium budowane jest lokalnie z podpisanymi pakietami i dystrybuowane przez infrastrukturę sieciową AGH.

Narzędzia naukowe WIMiC

Repozytorium zawiera zoptymalizowane kompilacje bibliotek numerycznych (NumPy, SciPy, matplotlib z backendem Qt), narzędzia do analizy obrazu z mikroskopów elektronowych oraz skrypty integrujące aparaturę pomiarową wydziału z formatami danych otwartych. Kompilatory GCC i LLVM budowane są z flagami optymalizacyjnymi pod konkretną mikroarchitekturę stacji roboczych laboratoryjnych.

System Live i deployment

AGHOS dystrybuowany jest jako obraz ISO uruchamialny z nośnika USB. System Live jest w pełni funkcjonalnym środowiskiem pracy — nie jest okrojonym środowiskiem ratunkowym. Użytkownik może pracować w trybie Live bez instalacji na dysk, z opcją zachowania zmian na nośniku (persistent storage).

Uruchomienie z USB

Pełne środowisko KDE Plasma dostępne bez instalacji. Obsługa WiFi, Ethernet i sieci AGH od razu po boocie.

Instalacja na dysk

Graficzny instalator PySide6 (6 kroków). rsync kopiuje obraz Live na dysk docelowy. Czas instalacji: 10–25 min.

Obraz rootfs

Rootfs przechowywany na XFS. Aktualizacja obrazu = aktualizacja Live systemu dla wszystkich kolejnych instalacji. Model deploy-from-master.

UEFI i BIOS/MBR

Automatyczne wykrywanie trybu firmware. UEFI: GRUB x86_64-efi + ESP FAT32. BIOS: GRUB i386-pc + MBR. Obsługa multiboot przez os-prober.

Komunikacja i integracja

System integruje się z wydziałowym serwerem Matrix (klient Element), zapewniając szyfrowaną komunikację wewnętrzną niezależną od komercyjnych platform. Integracja obejmuje kanały wydziałowe, grupy studenckie i kanały projektów badawczych. Microsoft Teams dostępny jest jako aplikacja sandboxowana dla komunikacji z jednostkami zewnętrznymi — przy zachowaniu pełnej izolacji danych systemowych od aplikacji.

Model rozwoju projektu

Projekt rozwija Łukasz Gołek, SKN „Ceramit" i studenci AGH. Model rolling release oznacza brak zamrożonych wersji — system jest zawsze aktualny. Zmiany w obrazie rootfs wchodzą w życie przy następnym uruchomieniu instalatora Live. Instalator (AGHOS_installer) jest oddzielnym projektem Python/PySide6, wersjonowanym niezależnie.

Cała infrastruktura — serwer ISO, strona WWW, repozytorium pacmana — hostowana jest na własnych maszynach wydziałowych. Pełna suwerenność technologiczna bez zależności od zewnętrznych dostawców usług chmurowych.

_POWRÓT_DO_BAZY

AGHOS (Arch Greybeards Hall Operating System) is a Linux distribution based on Arch Linux, developed by Łukasz Gołek, "Ceramit" student research group and AGH students. The system addresses the specific needs of the academic environment: full data control, privacy protection in the context of proprietary software, configuration minimalism, and easy deployment on laboratory workstations. This document describes the architecture, design philosophy, and key technical decisions of the system.

Problem and motivation

The academic environment simultaneously requires access to modern office and communication tools (WPS Office, Microsoft Teams) and protection of sensitive research data. Commercial Linux distributions integrate these applications without isolation — giving them unrestricted access to the filesystem and network. Corporate distributions impose their own release cycles and update policies, limiting user autonomy.

AGHOS addresses this problem: it enables running proprietary software in a sandbox while retaining the full flexibility of Arch Linux and control over every aspect of the system. An additional motivation is the educational goal — the system is meant to be a learning tool, not a black box.

System architecture

The system is built on Arch Linux in a rolling release model, providing access to the latest software versions without a forced release cycle. The choice of Arch Linux as a base stems from the KISS philosophy (Keep It Simple, Stupid) — no unnecessary abstraction layers, no initialization scripts hidden from the user. Every configuration is explicit and editable.

Layer	Technology	Rationale
Base system	Arch Linux (rolling)	Maximum package freshness, minimalism, full control
Kernel	linux-zen	Desktop and workstation responsiveness optimizations
Init system	systemd	De facto standard — consistency with the rest of the ecosystem
Filesystem	btrfs (/, /home)	Copy-on-Write, snapshots, transparent compression
Bootloader	GRUB 2	UEFI and BIOS/MBR support, multiboot, rescue shell
Package manager	pacman + paru	pacman: official repos; paru: AUR without privacy compromises
Shell	zsh + Powerlevel10k	Advanced autocomplete, history, visual feedback
Display server	Wayland / X11	KDE Plasma supports both; X11 as fallback for older hardware

Security and privacy model

AGHOS adopts a minimal-trust principle towards proprietary software. No closed-source application receives unrestricted network or filesystem access. The primary tool enforcing this policy is Firejail — a lightweight sandbox profile system based on Linux namespaces and seccomp.

Container isolation — Firejail

WPS Office is launched with the --net=none option, completely blocking network access — preventing the application from sending documents, license data, and usage statistics to Kingsoft servers. Microsoft Teams is isolated analogously, with restricted filesystem access (only home directory and working directories). Firejail operates at the kernel namespace level — it requires no root privileges and introduces no measurable performance overhead.

Telemetry and data privacy

The system contains no mechanism for collecting usage data sent to distribution creators. The machine-id identifier is cleared on installation and regenerated uniquely for each instance — preventing cross-installation correlation. SDDM configuration disables autologin on the installed system. All network services require explicit activation by the user.

Desktop environment

KDE Plasma was chosen as the graphical environment for its exceptional configurability, project maturity, and full Wayland support while maintaining X11 compatibility. The environment is configured with academic work ergonomics in mind.

KDE Plasma

Complete desktop environment with Wayland as default backend. Low memory footprint while retaining full functionality.

Appearance and themes

Breeze Dark color scheme. Custom AGHOS wallpaper for desktop and lock screen. Icons from the Breeze set.

Default configuration

Keyboard layout: PL (programmer). Taskbar with quick access to WPS Writer, Calc, Impress, Konsole and Dolphin.

Welcome screen

On first login, aghos_welcome launches — a one-time welcome window that removes its own autostart entry after closing.

Pre-installed software

The system image contains a complete set of tools ready for academic work immediately after installation — without needing to install basic software separately.

Package	Category	Notes
KDE Plasma	Desktop environment	Full KDE app suite: Dolphin, Konsole, Kate, Spectacle
Firefox	Browser	Default browser; no privacy policy modifications
WPS Office	Office suite	Installed post-setup; Firejail `--net=none`
Microsoft Teams	Communication	Firejail with restricted FS access; network allowed
Element (Matrix)	Communication	Matrix protocol client; encrypted faculty communication
paru	AUR manager	AUR helper without usage reporting; successor to yay
Firejail	Security	Sandbox profiles for proprietary applications
NetworkManager	Networking	WiFi and Ethernet management; nmcli used in the installer
SDDM	Display Manager	Login screen; autologin disabled after installation

The [aghos] repository

The custom pacman repository [aghos] contains packages specific to the needs of the Faculty of Materials Science and Ceramics, unavailable or inadequately configured in official Arch Linux repositories. The repository is built locally with signed packages and distributed through AGH network infrastructure.

WIMiC scientific tools

The repository contains optimized builds of numerical libraries (NumPy, SciPy, matplotlib with Qt backend), tools for electron microscope image analysis, and scripts integrating faculty measurement equipment with open data formats. GCC and LLVM compilers are built with optimization flags targeting the specific microarchitecture of laboratory workstations.

Live system and deployment

AGHOS is distributed as an ISO image bootable from a USB drive. The Live system is a fully functional working environment — not a stripped-down rescue environment. Users can work in Live mode without installing to disk, with an option to preserve changes on the drive (persistent storage).

USB boot

Full KDE Plasma environment available without installation. WiFi, Ethernet and AGH network connectivity available from boot.

Disk installation

PySide6 graphical installer (6 steps). rsync copies the Live image to the target disk. Installation time: 10–25 min.

rootfs image

Rootfs stored on XFS. Updating the image updates the Live system for all subsequent installations. Deploy-from-master model.

UEFI and BIOS/MBR

Automatic firmware mode detection. UEFI: GRUB x86_64-efi + FAT32 ESP. BIOS: GRUB i386-pc + MBR. Multiboot via os-prober.

Communication and integration

The system integrates with the faculty Matrix server (Element client), providing encrypted internal communication independent of commercial platforms. Integration covers faculty channels, student groups, and research project channels. Microsoft Teams is available as a sandboxed application for communication with external units — while maintaining full isolation of system data from the application.

Project development model

The project is developed by Łukasz Gołek at the AGH Faculty of Materials Science and Ceramics. The rolling release model means no frozen versions — the system is always up to date. Changes to the rootfs image take effect on the next Live installer launch. The installer (AGHOS_installer) is a separate Python/PySide6 project, versioned independently.

The entire infrastructure — ISO server, website, pacman repository — is hosted on faculty-owned machines. Full technological sovereignty without dependence on external cloud service providers.

_RETURN_TO_BASE