🥇Релиз на системата за самостоятелни пакети Flatpak 1.16.0

След две и половина години разработка, публикувана нова стабилна версия на инструмента Flatpak 1.16, която предлага система за изграждане на самодостатъчни пакети, независими от конкретни дистрибуции на Linux, и изпълнявани в специален контейнер, изолиращ приложението от останалата част на системата. Поддръжката за изпълнение на Flatpak пакети е осигурена за Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux и Ubuntu. Пакетите с Flatpak са включени в репозитория на Fedora и се поддържат в стандартните приложения за управление на приложения GNOME и KDE.

Ключови нововъведения в версия Flatpak 1.16:

Преход към използване на системата за изграждане Meson. Поддръжката на събиране чрез инструмента Autotools е прекратена. За изграждане на Flatpak сега е необходимо наличието на Python в системата, поне версия 3.5.
Реализиран е споделен достъп до сокета gssproxy, което позволява аутентификация чрез Kerberos в приложения, изпълнявани в режим на sandbox изолация.
При създаването на сокет за Wayland е използвано разширение security-context, чрез което композитният сървър може да идентифицира и ограничава приложения, стартирани в режим на sandbox изолация. Добавена е опцията "--socket=inherit-wayland-socket" за наследяване на съществуващ сокет за Wayland.
След инсталирането или обновяването на приложения, осигурена е автоматична перезареждане на конфигурацията на сесийната шина D-Bus за прихващане на новоекспортираните от приложенията услуги на D-Bus.
Дистрибуциите получиха възможност да определят репозиториите с Flatpak пакети, използвайки каталог "\/usr\/share\/flatpak\/remotes.d", освен "\/etc\/flatpak\/remotes.d".
Извършена е работа по разделянето на големи файлове с изходен код на по-малки модули.
Добавена е опция "--device=input" за достъп до устройства за въвеждане през \/dev\/input.
За изолация на приложенията е използвана нова версия на инструмента bubblewrap 0.11. В дистрибуциите, компилиращи Flatpak с използване на системния изпълним файл bwrap, е необходимо наличието на поне версия bubblewrap 0.11. Усилена е защитата срещу създаване на вложени пространства от идентификатори на потребители (user namespace) в sandbox средите.
Оптимизирана е настройката на допълнителни езици. Осигурено е определяне на езици на базата на информация за потребителите, предоставяна от DBus услугата AccountsService.
На приложенията, които използват вложена sandbox-изолация, например на базата на движка WebKit, е разрешено прилагането на протокола AT-SPI за взаимодействие с екранни рийдъри. Добавена е опцията «flatpak run —a11y-own-name» за избор на шина, чрез която се осъществява достъп до средства за хора с увреждания.
При изпълнение на командата «flatpak run -vv », е осигурен показ на всички приложими параметри на sandbox-изолацията.
Добавена е опцията «—device=usb», както и параметрите «—usb» и «—no-usb» за управление на достъпа на приложенията до USB-устройства.
Добавена е поддръжка на фреймворка KCompletion, използван за автоматично допълване на търсени ключови думи в KDE.
Добавени са променливи на средата «FLATPAK_DATA_DIR» и «FLATPAK_DOWNLOAD_TMPDIR» за преназначаване на директориите за данни ( /usr/share/flatpak ) и временно изтегляне на файлове ( /var/tmp ).
Добавен е изход на escape-последователности за показване на напредъка на изпълнение на операции в терминални емулатори.

Напомняме, че Flatpak улеснява разпространението на програми, които не са част от стандартните хранилища на дистрибуции, благодарение на подготовката на един универсален контейнер, освобождаващ разработчиците от необходимостта да формират отделни сборки за всяка дистрибуция. На потребителите, които се интересуват от безопасност, Flatpak предоставя възможността да стартират съмнителни приложения в контейнер, осигурявайки ограничен достъп само до необходимите мрежови функции и файлове на потребителя. На потребителите, които се интересуват от новини, Flatpak позволява инсталирането на последните тестови и стабилни издания на приложения без нужда от промени в системата. Например, Flatpak пакети се събират за LibreOffice, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Telegram Desktop, Android Studio и т.н.

За намаляване на размера в пакета се включват само специфични за приложението зависимости. Основните системни и графични библиотеки (GTK, Qt, библиотеки GNOME и KDE и т.н.) се предлагат под формата на подлежащи типови runtime среди. Ключовото отличие на Flatpak от Snap е, че Snap използва компоненти на основната система и изолация, базирана на филтриране на системни повиквания, докато Flatpak създава отделен от системата контейнер и работи с големи набори runtime, предоставяйки като зависимости не пакети, а типови системни среди (например, всички библиотеки, необходими за работа с приложения на GNOME или KDE).

Освен типовата системна среда (runtime), инсталирана чрез специално хранилище, се предлагат допълнителни зависимости (bundle), които са необходими за работата на приложението. В комбинация „runtime“ и „bundle“ образуват съдържанието на контейнера, като „runtime“ се инсталира отделно и се свързва с няколко контейнера, което позволява избягването на дублирането на общите за контейнерите системни файлове.

В една система могат да бъдат инсталирани няколко различни «runtime» (GNOME, KDE) или няколко версии на един «runtime» (GNOME 46, GNOME 47). Контейнер с приложение в зависимост използва свързване само с определен «runtime», без да отчита отделните пакети, формиращи избрания «runtime». Всички липсващи елементи се опаковат заедно с приложението. При създаване на контейнера съдържанието на «runtime» се монтира като дял /usr, а «bundle» се монтира в директорията /app.

Начинът на създаване на «runtime» и контейнерите на приложенията е реализиран с технологията OSTree, при която образът атомарно се обновява от Git-подобно хранилище, позволяващо прилагането на методи за контрол на версиите към компонентите на дистрибуцията (например, системата може бързо да бъде върната в предишно състояние). RPM-пакетите се транслират в репозитория OSTree с помощта на прослойка rpm-ostree.

Изборното инсталиране и обновление на пакети в работната среда не се поддържа — системата се обновява не на ниво отделни компоненти, а изцяло, атомарно променяйки своето състояние. Предоставят се средства за инкрементално прилагане на обновления, които елиминират необходимостта от пълна подмяна на образа при всяко обновление.

Формируемата изолирана среда е напълно независима от използваната дистрибуция и при подходящи настройки на пакета няма достъп до файловете и процесите на потребителя или основната система, както и не може да се свързва директно с хардуера, с изключение на изхода чрез DRI. Изходът на графиката и организацията на входа са реализирани с помощта на протокола Wayland или чрез предаване на сокет X11. Взаимодействието с външната среда се осъществява чрез системата за обмен на съобщения DBus и специално API Portals.

За изолация се използва прослойка Bubblewrap и традиционни за Linux технологии за контейнерна виртуализация, основани на използването на cgroups, пространства на имена (namespaces), Seccomp и SELinux. За звуковия изход се използва PulseAudio или PipeWire. При създаването на пакета изолацията може да бъде деактивирана, което разработчиците на много популярни пакети използват, за да получат пълен достъп до файловата система и всички устройства в системата.

Например, с ограничен режим на изолация, който оставя пълен достъп до домашната директория, се предлагат пакети GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC. В случай на компрометиране на пакети с достъп до домашната директория, въпреки наличието на етикет „sandboxed“ в описанието на пакета, на атакуващия му е достатъчно да промени файла ~/.bashrc, за да изпълни своя код. Отделен въпрос е контролът върху промените в пакетите и доверието към създателите на пакети, които често не са свързани с основния проект или дистрибуциите.

Източник: opennet.ru