Пуснато е издание на системата с автономни пакети Flatpak 1.14.0

Обнародвана е нова стабилна версия на инструмента Flatpak 1.14, който предоставя система за изграждане на самостоятелни пакети, несвързани с конкретни дистрибуции на Linux и изпълняващи се в специален контейнер, изолиращ приложението от останалата част на системата. Поддръжка за изпълнение на Flatpak пакети е осигурена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Пакетите Flatpak са включени в репозитория на Fedora и се поддържат от стандартната програма за управление на приложения GNOME.

Ключови нововъведения в версията Flatpak 1.14:

• Осигурено е създаването на директория за файлове в състоянието (.local/state) и задаването на променливата на средата XDG_STATE_HOME, указваща на тази директория.
• Добавлены условные проверки вида «have-kernel-module-имя» для определения наличия модулей ядра (универсальный аналог ранее предлагаемой проверке have-intel-gpu, вместо которой теперь можно использовать выражение «have-kernel-module-i915»).
• Реализована команда «flatpak document-unexport —doc-id=…».
• Осигурен е експорта на метаданни Appstream за използване в основната среда.
• Добавени са правила за автоматично допълване на командите flatpak за командния интерпретатор Fish
• Разрешен е мрежов достъп до услуги X11 и PulseAudio (при добавяне на съответните настройки).
• Основная ветка в Git-репозитории переименована с «master» на «main», так как слово «master» считается последнее время неполиткорректным.
• Осигурено е презаписване на стартиращи скриптове в случай на преименуване на приложението.
• В команду install добавлены опции «—include-sdk» и «—include-debug» для установки SDK и файлов debuginfo.
• В файлы flatpakref и flatpakrepo добавлена поддержка параметра «DeploySideloadCollectionID», при установке которого идентификатор коллекции будет выставлен во время добавления удалённого репозитория, а не после загрузки метаданных.
• Разрешено е създаването на вложени sandbox среди за обработчици в сесии с отделни имена MPRIS (Media Player Remote Interfacing Specification).
• В командните утилити е осигурен извеждането на информация за използването на остарели runtime разширения.
• В командата uninstall е реализиран иск за потвърждение преди изтриването на runtime или runtime разширения, които все още се използват.
• В команды подобные «flatpak run» добавлена поддержка опции «—socket=gpg-agent».
• В libostree е отстранена уязвимост, която потенциално позволява на потребителя да изтрива произволни файлове в системата чрез манипулации с обработчика flatpak-system-helper (изпращане на заявка за изтриване със специално форматирано име на клон). Проблемът се проявява само в стари версии на Flatpak и libostree, издадени преди 2018 година (< 0.10.2), и не засяга актуалните издания.

Напомняме, че Flatpak предоставя на разработчиците на приложения възможност да опростят разпространението на своите програми, които не влизат в стандартните репозитории на дистрибуциите, чрез подготовка на един универсален контейнер, без необходимост от създаване на отделни версии за всяка дистрибуция. Flatpak позволява на потребителите, които се грижат за сигурността, да изпълняват подозрителни приложения в контейнер, давайки достъп само до мрежови функции и файлове на потребителя, свързани с приложението. За потребителите, които се интересуват от нови неща, Flatpak позволява инсталирането на най-новите тестови и стабилни версии на приложения без необходимост от промени в системата. Например, Flatpak пакети са на разположение за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За да се намали размерът на пакета, той включва само специфични за приложението зависимости, докато основните системни и графични библиотеки (GTK, Qt, библиотеки GNOME и KDE и т.н.) са организирани под формата на модулни типови runtime среди. Ключовата разлика между Flatpak и Snap е, че Snap използва компоненти на основната система и изолация на базата на филтриране на системни повиквания, докато Flatpak създава отделен от системата контейнер и работи с големи набори от runtime, предоставяйки типови системни среди като зависимости, а не пакети (например всички библиотеки, необходими за работа на приложения GNOME или KDE).

Освен типичната системна среда (runtime), инсталирана чрез специален репозиторий, се доставят допълнителни зависимости (bundle), необходими за работата на приложението. В сумата runtime и bundle образуват съдържанието на контейнера, като едновременно runtime се инсталира самостоятелно и се свързва с няколко контейнера, което позволява да се избегне дублирането на общи за контейнерите системни файлове. В една система могат да бъдат инсталирани различни runtime (GNOME, KDE) или различни версии на един и същи runtime (GNOME 3.40, GNOME 3.42). Контейнерът с приложението, като зависимост, използва свързването само със специфичен runtime, без да отчита отделните пакети, от които се състои runtime. Всички липсващи елементи се опаковат директно заедно с приложението. При формироването на контейнера, съдържанието на runtime се монтира като том на /usr, а bundle се монтира в директория /app.

Съдържанието на runtime и контейнерите на приложенията се формира с използването на технологията OSTree, при която образът се актуализира атомарно от Git-подобно хранилище, позволяващо прилагането на методи за контрол на версиите към компонентите на дистрибуцията (например, системата може бързо да бъде възстановена до предишно състояние). RPM пакетите се трансформират в репозитория OSTree чрез специален слой rpm-ostree. Отделно инсталиране и обновление на пакети в работната среда не се поддържа, системата се обновява не на ниво отделни компоненти, а изцяло, атомарно променяйки своето състояние. По предоставени средства за инкрементално прилагане на актуализации, се освобождава от необходимостта от пълна подмяна на образа при всяко обновление.

Формираното изолирано обкръжение е напълно независимо от използвания дистрибутив и при подходящи настройки на пакета няма достъп до файловете и процесите на потребителя или основната система, не може директно да взаимодейства с оборудването, с изключение на извода чрез DRI и запитванията към мрежовата подсистема. Изводът на графиката и организацията на входа са реализирани с помощта на протокола Wayland или чрез пробив на сокета X11. Взаимодействието с външна среда е изградена на базата на система за обмен на съобщения DBus и специален API Portals.

Для изоляции используется прослойка Bubblewrap и традиционные для Linux технологии контейнерной виртуализации, основанные на использовании cgroups, пространств имён (namespaces), Seccomp и SELinux. Для вывода звука применяется PulseAudio. При этом изоляция может быть отключена, чем пользуются разработчики многих популярных пакетов для получения полного доступа к ФС и всем устройствам в системе. Например, с ограниченным режимом изоляции, оставляющим полный доступ к домашнему каталогу, поставляются пакеты GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC. В случае компрометации пакетов с доступом к домашнему каталогу, несмотря на наличие в описании пакета метки «sandboxed», атакующему для выполнения своего кода достаточно изменить файл ~/.bashrc. Отдельным вопросом является контроль за внесением изменений в пакеты и доверие к сборщикам пакетов, которые часто не связаны с основным проектом или дистрибутивами.

Източник: opennet.ru