Flatpak 1.12.0 স্বয়ংসম্পূর্ণ প্যাকেজ সিস্টেমের মুক্তি

Flatpak 1.12 টুলকিটের একটি নতুন স্থিতিশীল শাখা প্রকাশিত হয়েছে, যা স্বয়ংসম্পূর্ণ প্যাকেজগুলি তৈরি করার জন্য একটি সিস্টেম সরবরাহ করে যা নির্দিষ্ট লিনাক্স বিতরণের সাথে আবদ্ধ নয় এবং একটি বিশেষ পাত্রে চালিত হয় যা সিস্টেমের বাকি অংশ থেকে অ্যাপ্লিকেশনটিকে বিচ্ছিন্ন করে। Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux এবং Ubuntu-এর জন্য Flatpak প্যাকেজ চালানোর জন্য সমর্থন দেওয়া হয়। Flatpak প্যাকেজগুলি Fedora সংগ্রহস্থলে অন্তর্ভুক্ত করা হয় এবং স্থানীয় GNOME অ্যাপ্লিকেশন ম্যানেজার দ্বারা সমর্থিত।

Flatpak 1.12 শাখায় মূল উদ্ভাবন:

• স্টিম গেম ডেলিভারি পরিষেবার জন্য ক্লায়েন্টের সাথে ফ্ল্যাটপ্যাক প্যাকেজে ব্যবহৃত নেস্টেড স্যান্ডবক্স পরিবেশের উন্নত ব্যবস্থাপনা। নেস্টেড স্যান্ডবক্সে, /usr এবং /অ্যাপ ডিরেক্টরিগুলির পৃথক শ্রেণিবিন্যাস তৈরি করার অনুমতি দেওয়া হয়, যা স্টিমে স্টিম ক্লায়েন্টের সাথে পরিবেশ থেকে বিচ্ছিন্ন নিজস্ব /usr পার্টিশন সহ একটি পৃথক পাত্রে গেম চালু করতে ব্যবহৃত হয়।
• একই অ্যাপ্লিকেশন শনাক্তকারী (অ্যাপ-আইডি) সহ সমস্ত প্যাকেজ দৃষ্টান্ত /tmp এবং $XDG_RUNTIME_DIR ডিরেক্টরিগুলি ভাগ করে। ঐচ্ছিকভাবে, “--allow=per-app-dev-shm” পতাকা ব্যবহার করে, আপনি /dev/shm ভাগ করা ডিরেক্টরির ব্যবহার সক্রিয় করতে পারেন।
• টেক্সট ইউজার ইন্টারফেস (TUI) অ্যাপ্লিকেশনগুলির জন্য উন্নত সমর্থন যেমন gdb।
• "ostree prune" কমান্ডের একটি দ্রুত বাস্তবায়ন বিল্ড-আপডেট-রেপো ইউটিলিটিতে যোগ করা হয়েছে, আর্কাইভ মোডে রিপোজিটরির সাথে কাজ করার জন্য অপ্টিমাইজ করা হয়েছে।
• seccomp নিয়মে মাউন্ট পার্টিশন সম্পর্কিত নতুন সিস্টেম কল ব্লক করার অভাবের সাথে যুক্ত পোর্টাল মেকানিজম বাস্তবায়নে দুর্বলতা CVE-2021-41133 সংশোধন করা হয়েছে। দুর্বলতা অ্যাপ্লিকেশনটিকে "পোর্টাল" যাচাইকরণ প্রক্রিয়াগুলিকে বাইপাস করার জন্য একটি নেস্টেড স্যান্ডবক্স তৈরি করার অনুমতি দেয় যা কন্টেইনারের বাইরে সংস্থানগুলিতে অ্যাক্সেস সংগঠিত করতে ব্যবহৃত হয়৷

  ফলস্বরূপ, একজন আক্রমণকারী, মাউন্টিং-সম্পর্কিত সিস্টেম কলগুলি সম্পাদন করে, স্যান্ডবক্স বিচ্ছিন্নতা প্রক্রিয়াকে বাইপাস করতে পারে এবং হোস্ট পরিবেশের বিষয়বস্তুতে সম্পূর্ণ অ্যাক্সেস পেতে পারে। দুর্বলতা শুধুমাত্র প্যাকেজগুলিতে ব্যবহার করা যেতে পারে যা অ্যাপ্লিকেশনগুলিকে AF_UNIX সকেটগুলিতে সরাসরি অ্যাক্সেস প্রদান করে, যেমন ওয়েল্যান্ড, পাইপওয়্যার এবং পাইপওয়্যার-পালস দ্বারা ব্যবহৃত। রিলিজ 1.12.0-এ, দুর্বলতা সম্পূর্ণরূপে দূর করা হয়নি, তাই আপডেট 1.12.1 এর হিলগুলিতে গরম প্রকাশ করা হয়েছিল।

আমরা আপনাকে মনে করিয়ে দিই যে Flatpak অ্যাপ্লিকেশন ডেভেলপারদের তাদের প্রোগ্রামগুলির বিতরণকে সহজ করতে দেয় যা স্ট্যান্ডার্ড ডিস্ট্রিবিউশন রিপোজিটরিতে অন্তর্ভুক্ত নয় প্রতিটি ডিস্ট্রিবিউশনের জন্য আলাদা অ্যাসেম্বলি তৈরি না করে একটি সার্বজনীন ধারক প্রস্তুত করে। নিরাপত্তা-সচেতন ব্যবহারকারীদের জন্য, Flatpak আপনাকে একটি কন্টেইনারে একটি সন্দেহজনক অ্যাপ্লিকেশন চালানোর অনুমতি দেয়, শুধুমাত্র নেটওয়ার্ক ফাংশন এবং অ্যাপ্লিকেশনের সাথে যুক্ত ব্যবহারকারী ফাইলগুলিতে অ্যাক্সেস প্রদান করে। নতুন পণ্যগুলিতে আগ্রহী ব্যবহারকারীদের জন্য, ফ্ল্যাটপ্যাক আপনাকে সিস্টেমে পরিবর্তন না করেই সর্বশেষ পরীক্ষা এবং অ্যাপ্লিকেশনগুলির স্থিতিশীল প্রকাশগুলি ইনস্টল করার অনুমতি দেয়। উদাহরণস্বরূপ, ফ্ল্যাটপ্যাক প্যাকেজগুলি LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio ইত্যাদির জন্য তৈরি করা হয়েছে।

প্যাকেজ আকার কমাতে, এটি শুধুমাত্র অ্যাপ্লিকেশন-নির্দিষ্ট নির্ভরতা অন্তর্ভুক্ত করে, এবং মৌলিক সিস্টেম এবং গ্রাফিক্স লাইব্রেরিগুলি (GTK, Qt, GNOME এবং KDE লাইব্রেরি, ইত্যাদি) প্লাগ-ইন স্ট্যান্ডার্ড রানটাইম পরিবেশ হিসাবে ডিজাইন করা হয়েছে। ফ্ল্যাটপ্যাক এবং স্ন্যাপের মধ্যে মূল পার্থক্য হল যে স্ন্যাপ প্রধান সিস্টেম পরিবেশের উপাদানগুলি ব্যবহার করে এবং ফিল্টারিং সিস্টেম কলগুলির উপর ভিত্তি করে বিচ্ছিন্নতা ব্যবহার করে, যখন ফ্ল্যাটপ্যাক সিস্টেম থেকে আলাদা একটি ধারক তৈরি করে এবং বড় রানটাইম সেটগুলির সাথে কাজ করে, প্যাকেজগুলিকে নির্ভরতা হিসাবে নয়, তবে মানক হিসাবে প্রদান করে। ones সিস্টেম এনভায়রনমেন্ট (উদাহরণস্বরূপ, GNOME বা KDE প্রোগ্রাম পরিচালনার জন্য প্রয়োজনীয় সমস্ত লাইব্রেরি)।

স্ট্যান্ডার্ড সিস্টেম এনভায়রনমেন্ট (রানটাইম) ছাড়াও, একটি বিশেষ সংগ্রহস্থলের মাধ্যমে ইনস্টল করা, অ্যাপ্লিকেশনটির অপারেশনের জন্য প্রয়োজনীয় অতিরিক্ত নির্ভরতা (বান্ডেল) সরবরাহ করা হয়। মোট, রানটাইম এবং বান্ডিল কন্টেইনারটি ভরাট করে, রানটাইম আলাদাভাবে ইনস্টল করা থাকা সত্ত্বেও এবং একসাথে বেশ কয়েকটি পাত্রে বাঁধা থাকা সত্ত্বেও, যা আপনাকে কন্টেইনারগুলিতে সাধারণ সিস্টেম ফাইলগুলির নকল এড়াতে দেয়। একটি সিস্টেমে বিভিন্ন রানটাইম ইনস্টল থাকতে পারে (GNOME, KDE) অথবা একই রানটাইমের একাধিক সংস্করণ (GNOME 3.40, GNOME 3.42)। নির্ভরতা হিসাবে একটি অ্যাপ্লিকেশন সহ একটি ধারক শুধুমাত্র একটি নির্দিষ্ট রানটাইমের সাথে বাঁধাই ব্যবহার করে, রানটাইম তৈরি করে এমন পৃথক প্যাকেজগুলিকে বিবেচনায় না নিয়ে। সমস্ত অনুপস্থিত উপাদান সরাসরি অ্যাপ্লিকেশনের সাথে প্যাকেজ করা হয়. যখন একটি ধারক তৈরি হয়, রানটাইম বিষয়বস্তু /usr পার্টিশন হিসাবে মাউন্ট করা হয়, এবং বান্ডেলটি /app ডিরেক্টরিতে মাউন্ট করা হয়।

রানটাইম এবং অ্যাপ্লিকেশন কন্টেইনারগুলি OSTree প্রযুক্তি ব্যবহার করে তৈরি করা হয়েছে, যেখানে চিত্রটি পরমাণুভাবে একটি গিট-সদৃশ সংগ্রহস্থল থেকে আপডেট করা হয়েছে, যা বিতরণ উপাদানগুলিতে সংস্করণ নিয়ন্ত্রণ পদ্ধতি প্রয়োগ করার অনুমতি দেয় (উদাহরণস্বরূপ, আপনি দ্রুত সিস্টেমটিকে একটিতে রোল ব্যাক করতে পারেন আগের অবস্থা)। RPM প্যাকেজগুলি একটি বিশেষ rpm-ostree স্তর ব্যবহার করে OSTree সংগ্রহস্থলে অনুবাদ করা হয়। কাজের পরিবেশের মধ্যে প্যাকেজগুলির পৃথক ইনস্টলেশন এবং আপডেট সমর্থিত নয়; সিস্টেমটি পৃথক উপাদানগুলির স্তরে আপডেট করা হয় না, তবে সামগ্রিকভাবে, পারমাণবিকভাবে এর অবস্থা পরিবর্তন করে। ক্রমবর্ধমানভাবে আপডেটগুলি প্রয়োগ করার জন্য সরঞ্জাম সরবরাহ করে, প্রতিটি আপডেটের সাথে চিত্রটিকে সম্পূর্ণরূপে প্রতিস্থাপন করার প্রয়োজনীয়তা দূর করে৷

উৎপন্ন বিচ্ছিন্ন পরিবেশ ব্যবহৃত বিতরণ থেকে সম্পূর্ণ স্বাধীন এবং প্যাকেজের যথাযথ সেটিংস সহ, ব্যবহারকারী বা প্রধান সিস্টেমের ফাইল এবং প্রক্রিয়াগুলিতে অ্যাক্সেস নেই, ডিআরআই-এর মাধ্যমে আউটপুট বাদ দিয়ে সরাসরি সরঞ্জামগুলিতে অ্যাক্সেস করতে পারে না, এবং নেটওয়ার্ক সাবসিস্টেমে কল করে। গ্রাফিক্স আউটপুট এবং ইনপুট সংস্থা ওয়েল্যান্ড প্রোটোকল ব্যবহার করে বা X11 সকেট ফরওয়ার্ডিংয়ের মাধ্যমে প্রয়োগ করা হয়। বাহ্যিক পরিবেশের সাথে মিথস্ক্রিয়া DBus মেসেজিং সিস্টেম এবং একটি বিশেষ পোর্টাল API এর উপর ভিত্তি করে।

বিচ্ছিন্নতার জন্য, cgroups, নেমস্পেস, Seccomp এবং SELinux-এর ব্যবহারের উপর ভিত্তি করে Bubblewrap স্তর এবং ঐতিহ্যবাহী Linux ধারক ভার্চুয়ালাইজেশন প্রযুক্তি ব্যবহার করা হয়। PulseAudio আউটপুট শব্দ ব্যবহার করা হয়. এই ক্ষেত্রে, বিচ্ছিন্নতা অক্ষম করা যেতে পারে, যা অনেক জনপ্রিয় প্যাকেজের বিকাশকারীরা ফাইল সিস্টেম এবং সিস্টেমের সমস্ত ডিভাইসে সম্পূর্ণ অ্যাক্সেস পেতে ব্যবহার করে। উদাহরণস্বরূপ, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity এবং VLC একটি সীমিত বিচ্ছিন্নতা মোড সহ আসে যা হোম ডিরেক্টরিতে সম্পূর্ণ অ্যাক্সেস ছেড়ে দেয়।

প্যাকেজ বিবরণে "স্যান্ডবক্সড" লেবেল থাকা সত্ত্বেও যদি হোম ডিরেক্টরিতে অ্যাক্সেস সহ প্যাকেজগুলি আপোস করা হয়, আক্রমণকারীকে তার কোড চালানোর জন্য শুধুমাত্র ~/.bashrc ফাইল পরিবর্তন করতে হবে। একটি পৃথক সমস্যা হল প্যাকেজের পরিবর্তনের নিয়ন্ত্রণ এবং প্যাকেজ নির্মাতাদের উপর আস্থা রাখা, যারা প্রায়শই মূল প্রকল্প বা বিতরণের সাথে যুক্ত নয়।

উত্স: opennet.ru