Пускане на Flatpak 1.14.0 самостоятелна пакетна система

Публикуван е нов стабилен клон на комплекта инструменти Flatpak 1.14, който предоставя система за изграждане на самостоятелни пакети, които не са обвързани с конкретни дистрибуции на Linux и работят в специален контейнер, който изолира приложението от останалата част от системата. Осигурена е поддръжка за изпълнение на пакети Flatpak за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Пакетите Flatpak са включени в хранилището на Fedora и се поддържат от собствения мениджър на приложения на GNOME.

Ключови иновации в клона Flatpak 1.14:

• Възможно е да се създаде директория за файлове в състояние (.local/state) и да се зададе променливата на средата XDG_STATE_HOME, сочеща към тази директория.
• Добавени са условни проверки на формата „have-kernel-module-name“, за да се определи наличието на модули на ядрото (универсален аналог на предложената по-рано проверка have-intel-gpu, вместо която изразът „have-kernel-module-i915 ” вече може да се използва).
• Командата „flatpak document-unexport —doc-id=…“ е внедрена.
• Предоставено е експортиране на метаданни на Appstream за използване в основната среда.
• Добавени са правила за завършване на командата flatpak за Fish shell
• Мрежовият достъп до услугите X11 и PulseAudio е разрешен (ако са добавени съответните настройки).
• Основният клон в хранилището на Git е преименуван от „master“ на „main“, тъй като думата „master“ напоследък се счита за политически некоректна.
• Скриптовете за стартиране вече се пренаписват, ако приложението бъде преименувано.
• Добавени са опции „--include-sdk“ и „--include-debug“ към командата за инсталиране за инсталиране на SDK и файловете с информация за отстраняване на грешки.
• Добавена е поддръжка за параметъра „DeploySideloadCollectionID" към файловете flatpakref и flatpakrepo. Когато е зададен, идентификаторът на колекцията ще бъде зададен при добавяне на отдалечено хранилище, а не след зареждане на метаданните.
• Позволено е създаването на вложени среди на пясъчник за манипулатори в сесии с отделни имена на MPRIS (спецификация за отдалечен интерфейс на медия плейър).
• Помощните програми за командния ред вече предоставят информация за използването на остарели разширения за изпълнение.
• Командата за деинсталиране изпълнява заявка за потвърждение, преди да премахне времето за изпълнение или разширенията за изпълнение, които все още се използват.
• Добавена е поддръжка за опцията „--socket=gpg-agent“ към команди като „flatpak run“.
• Коригирана е уязвимост в libostree, която потенциално може да позволи на потребител да изтрие произволни файлове в системата чрез манипулиране на манипулатора на flatpak-system-helper (изпращане на заявка за изтриване със специално форматирано име на клон). Проблемът се появява само в по-стари версии на Flatpak и libostree, издадени преди 2018 г. (< 0.10.2) и не засяга текущите версии.

Нека ви напомним, че Flatpak позволява на разработчиците на приложения да опростят разпространението на своите програми, които не са включени в стандартните хранилища за разпространение, като подготвят един универсален контейнер, без да създават отделни сборки за всяко разпространение. За потребители, загрижени за сигурността, Flatpak ви позволява да стартирате съмнително приложение в контейнер, като предоставя достъп само до мрежовите функции и потребителските файлове, свързани с приложението. За потребителите, които се интересуват от нови продукти, Flatpak ви позволява да инсталирате най-новите тестови и стабилни версии на приложения, без да е необходимо да правите промени в системата. Например пакетите Flatpak са създадени за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За да се намали размерът на пакета, той включва само специфични за приложението зависимости, а основните системни и графични библиотеки (GTK, Qt, GNOME и KDE библиотеки и т.н.) са проектирани като plug-in стандартни среди за изпълнение. Ключовата разлика между Flatpak и Snap е, че Snap използва компонентите на основната системна среда и изолация, базирана на филтриране на системни извиквания, докато Flatpak създава контейнер, отделен от системата, и работи с големи набори по време на изпълнение, предоставяйки не пакети като зависимости, а стандартни системни среди (например всички библиотеки, необходими за работата на програмите GNOME или KDE).

В допълнение към стандартната системна среда (runtime), инсталирана чрез специално хранилище, се доставят допълнителни зависимости (пакет), необходими за работата на приложението. Като цяло времето за изпълнение и пакетът формират запълването на контейнера, въпреки факта, че времето за изпълнение е инсталирано отделно и е свързано с няколко контейнера наведнъж, което ви позволява да избегнете дублиране на системни файлове, общи за контейнерите. Една система може да има инсталирани няколко различни среди за изпълнение (GNOME, KDE) или няколко версии на едно и също време за изпълнение (GNOME 3.40, GNOME 3.42). Контейнер с приложение като зависимост използва обвързване само към конкретно време за изпълнение, без да взема предвид отделните пакети, които съставляват времето за изпълнение. Всички липсващи елементи се пакетират директно с приложението. Когато се формира контейнер, съдържанието на времето за изпълнение се монтира като /usr дял, а пакетът се монтира в директорията /app.

Контейнерите за време на изпълнение и приложение са изградени с помощта на технологията OSTree, при която изображението се актуализира атомарно от подобно на Git хранилище, което позволява прилагането на методи за контрол на версиите към компонентите за разпространение (например можете бързо да върнете системата към предишно състояние). RPM пакетите се превеждат в хранилището на OSTree с помощта на специален слой rpm-ostree. Не се поддържа отделна инсталация и актуализация на пакети в рамките на работната среда; системата се актуализира не на ниво отделни компоненти, а като цяло, като атомно променя състоянието си. Осигурява инструменти за постепенно прилагане на актуализации, елиминирайки необходимостта от пълна подмяна на изображението с всяка актуализация.

Генерираната изолирана среда е напълно независима от използваната дистрибуция и при правилни настройки на пакета няма достъп до файлове и процеси на потребителя или основната система, не може да има директен достъп до оборудването, с изключение на изход чрез DRI, и повиквания към мрежовата подсистема. Графичният изход и организацията на входа се реализират с помощта на протокола Wayland или чрез препращане на X11 сокет. Взаимодействието с външната среда се основава на системата за съобщения DBus и специален API на порталите.

За изолация се използват слоят Bubblewrap и традиционните технологии за виртуализация на Linux контейнери, базирани на използването на cgroups, пространства от имена, Seccomp и SELinux. PulseAudio се използва за извеждане на звук. В този случай изолацията може да бъде деактивирана, което се използва от разработчиците на много популярни пакети, за да получат пълен достъп до файловата система и всички устройства в системата. Например GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC идват с ограничен режим на изолация, който оставя пълен достъп до домашната директория. Ако пакети с достъп до домашната директория са компрометирани, въпреки наличието на етикета „sandboxed“ в описанието на пакета, атакуващият трябва само да промени файла ~/.bashrc, за да изпълни своя код. Отделен въпрос е контролът на промените в пакетите и доверието в създателите на пакети, които често не са свързани с основния проект или дистрибуции.

Източник: opennet.ru