Пускане на Flatpak 1.12.0 самостоятелна пакетна система

Публикуван е нов стабилен клон на комплекта инструменти Flatpak 1.12, който предоставя система за изграждане на самостоятелни пакети, които не са обвързани с конкретни дистрибуции на Linux и работят в специален контейнер, който изолира приложението от останалата част от системата. Осигурена е поддръжка за изпълнение на пакети Flatpak за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Пакетите Flatpak са включени в хранилището на Fedora и се поддържат от собствения мениджър на приложения на GNOME.

Ключови иновации в клона Flatpak 1.12:

• Подобрено управление на вложени пясъчни среди, използвани в пакета flatpak с клиента за услугата за доставка на игри Steam. Във вложените пясъчни кутии е разрешено създаването на отделни йерархии на директориите /usr и /app, което се използва в Steam за стартиране на игри в отделен контейнер със собствен /usr дял, изолиран от средата с Steam клиента.
• Всички екземпляри на пакети с един и същ идентификатор на приложение (app-ID) споделят директориите /tmp и $XDG_RUNTIME_DIR. По избор, като използвате флага „--allow=per-app-dev-shm“, можете да разрешите използването на споделената директория /dev/shm.
• Подобрена поддръжка за приложения с текстов потребителски интерфейс (TUI) като gdb.
• По-бързо изпълнение на командата „ostree prune“ е добавено към помощната програма build-update-repo, оптимизирана за работа с хранилища в архивен режим.
• Коригирана е уязвимостта CVE-2021-41133 при внедряването на порталния механизъм, свързана с липсата на блокиране на нови системни извиквания, свързани с монтиране на дялове в правилата на seccomp. Уязвимостта позволи на приложението да създаде вложена пясъчна кутия, за да заобиколи механизмите за проверка на „портала“, които се използват за организиране на достъп до ресурси извън контейнера.

  В резултат на това нападател, извършвайки системни повиквания, свързани с монтиране, може да заобиколи изолационния механизъм на пясъчника и да получи пълен достъп до съдържанието на хост средата. Уязвимостта може да се използва само в пакети, които предоставят на приложения директен достъп до AF_UNIX сокети, като тези, използвани от Wayland, Pipewire и pipewire-pulse. Във версия 1.12.0 уязвимостта не беше напълно елиминирана, така че актуализация 1.12.1 беше пусната по петите.

Нека ви напомним, че Flatpak позволява на разработчиците на приложения да опростят разпространението на своите програми, които не са включени в стандартните хранилища за разпространение, като подготвят един универсален контейнер, без да създават отделни сборки за всяко разпространение. За потребители, загрижени за сигурността, Flatpak ви позволява да стартирате съмнително приложение в контейнер, като предоставя достъп само до мрежовите функции и потребителските файлове, свързани с приложението. За потребителите, които се интересуват от нови продукти, Flatpak ви позволява да инсталирате най-новите тестови и стабилни версии на приложения, без да е необходимо да правите промени в системата. Например пакетите Flatpak са създадени за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За да се намали размерът на пакета, той включва само специфични за приложението зависимости, а основните системни и графични библиотеки (GTK, Qt, GNOME и KDE библиотеки и т.н.) са проектирани като plug-in стандартни среди за изпълнение. Ключовата разлика между Flatpak и Snap е, че Snap използва компонентите на основната системна среда и изолация, базирана на филтриране на системни извиквания, докато Flatpak създава контейнер, отделен от системата, и работи с големи набори по време на изпълнение, предоставяйки не пакети като зависимости, а стандартни системни среди (например всички библиотеки, необходими за работата на програмите GNOME или KDE).

В допълнение към стандартната системна среда (runtime), инсталирана чрез специално хранилище, се доставят допълнителни зависимости (пакет), необходими за работата на приложението. Като цяло времето за изпълнение и пакетът формират запълването на контейнера, въпреки факта, че времето за изпълнение е инсталирано отделно и е свързано с няколко контейнера наведнъж, което ви позволява да избегнете дублиране на системни файлове, общи за контейнерите. Една система може да има инсталирани няколко различни среди за изпълнение (GNOME, KDE) или няколко версии на едно и също време за изпълнение (GNOME 3.40, GNOME 3.42). Контейнер с приложение като зависимост използва обвързване само към конкретно време за изпълнение, без да взема предвид отделните пакети, които съставляват времето за изпълнение. Всички липсващи елементи се пакетират директно с приложението. Когато се формира контейнер, съдържанието на времето за изпълнение се монтира като /usr дял, а пакетът се монтира в директорията /app.

Контейнерите за време на изпълнение и приложение са изградени с помощта на технологията OSTree, при която изображението се актуализира атомарно от подобно на Git хранилище, което позволява прилагането на методи за контрол на версиите към компонентите за разпространение (например можете бързо да върнете системата към предишно състояние). RPM пакетите се превеждат в хранилището на OSTree с помощта на специален слой rpm-ostree. Не се поддържа отделна инсталация и актуализация на пакети в рамките на работната среда; системата се актуализира не на ниво отделни компоненти, а като цяло, като атомно променя състоянието си. Осигурява инструменти за постепенно прилагане на актуализации, елиминирайки необходимостта от пълна подмяна на изображението с всяка актуализация.

Генерираната изолирана среда е напълно независима от използваната дистрибуция и при правилни настройки на пакета няма достъп до файлове и процеси на потребителя или основната система, не може да има директен достъп до оборудването, с изключение на изход чрез DRI, и повиквания към мрежовата подсистема. Графичният изход и организацията на входа се реализират с помощта на протокола Wayland или чрез препращане на X11 сокет. Взаимодействието с външната среда се основава на системата за съобщения DBus и специален API на порталите.

За изолация се използват слоят Bubblewrap и традиционните технологии за виртуализация на Linux контейнери, базирани на използването на cgroups, пространства от имена, Seccomp и SELinux. PulseAudio се използва за извеждане на звук. В този случай изолацията може да бъде деактивирана, която се използва от разработчиците на много популярни пакети, за да получат пълен достъп до файловата система и всички устройства в системата. Например GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC идват с ограничен режим на изолация, който оставя пълен достъп до началната директория.

Ако пакети с достъп до домашната директория са компрометирани, въпреки наличието на етикета „sandboxed“ в описанието на пакета, атакуващият трябва само да промени файла ~/.bashrc, за да изпълни своя код. Отделен въпрос е контролът на промените в пакетите и доверието в създателите на пакети, които често не са свързани с основния проект или дистрибуции.

Източник: opennet.ru