Den nye stabile version af v\u00e6rkt\u00f8jet Flatpak 1.12 er offentliggjort, hvilket giver et system til at bygge selvforsynende pakker, der ikke er knyttet til specifikke Linux-distributioner og k\u00f8rer i en speciel container, der isolerer applikationen fra resten af systemet. Underst\u00f8ttelse af at k\u00f8re Flatpak-pakker er sikret for Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux og Ubuntu. Flatpak-pakker er inkluderet i Fedora-repositoriet og underst\u00f8ttes i det indbyggede program til applikationsh\u00e5ndtering GNOME. <\/p>\n
N\u00f8glefunktioner i Flatpak 1.12: <\/p>\n
Som et resultat kunne en angriber, gennem udf\u00f8relse af systemopkald relateret til montering, omg\u00e5 sandbox-isoleringsmekanismen og f\u00e5 fuld adgang til indholdet i v\u00e6rtens milj\u00f8. Udnyttelsen af s\u00e5rbarheden er kun mulig i pakker, der giver applikationer direkte adgang til AF_UNIX-sockets, som f.eks. bruges i Wayland, Pipewire og pipewire-pulse. I version 1.12.0 blev s\u00e5rbarheden ikke fuldst\u00e6ndigt afhjulpet, s\u00e5 der blev hurtigt udgivet en opdatering 1.12.1. <\/ul>\n
Husk, at Flatpak giver app-udviklere mulighed for at forenkle distributionen af deres programmer, der ikke findes i de officielle pakke-repositorier, ved at forberede en universel container uden at skulle lave separate builds til hver distribution. For brugere, der bekymrer sig om sikkerhed, giver Flatpak mulighed for at k\u00f8re tvivlsomme applikationer i en container, der kun giver adgang til netv\u00e6rksfunktioner og brugerfiler relateret til applikationen. For brugere, der er interesseret i nyheder, g\u00f8r Flatpak det muligt at installere de nyeste test- og stabile versioner af apps uden at skulle \u00e6ndre systemet. For eksempel oprettes Flatpak-pakker til LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio osv. <\/p>\n
For at reducere pakkest\u00f8rrelsen inkluderer den kun specifikke anvendelsesafh\u00e6ngigheder, mens de grundl\u00e6ggende system- og grafiske biblioteker (GTK, Qt, biblioteker fra GNOME og KDE osv.) er arrangeret som plug-in typiske runtime-milj\u00f8er. Den v\u00e6sentligste forskel mellem Flatpak og Snap er, at Snap bruger komponenter fra det prim\u00e6re systems milj\u00f8 og isolering baseret p\u00e5 filtrering af systemopkald, mens Flatpak opretter en separat container fra systemet og opererer med store runtime-s\u00e6t og leverer som afh\u00e6ngigheder ikke pakker, men typiske systemmilj\u00f8er (f.eks. alle biblioteker, der er n\u00f8dvendige for at k\u00f8re GNOME- eller KDE-programmer). <\/p>\n
Udover det typiske systemmilj\u00f8 (runtime), der installeres via et specielt repository, leveres der yderligere afh\u00e6ngigheder (bundle), som er n\u00f8dvendige for applikationens funktion. Sammen udg\u00f8r runtime og bundle indholdet af containeren, idet runtime installeres separat og knyttes til flere containere, hvilket g\u00f8r det muligt at undg\u00e5 duplikering af f\u00e6lles systemfiler for containerne. I et system kan der v\u00e6re installeret flere forskellige runtime (GNOME, KDE) eller flere versioner af en enkelt runtime (GNOME 3.40, GNOME 3.42). Containere med applikationer som afh\u00e6ngighed bruger bindingen kun til et bestemt runtime uden at tage h\u00f8jde for de enkelte pakker, som runtime best\u00e5r af. Alle manglende elementer pakkes direkte sammen med applikationen. Ved oprettelse af containeren monteres indholdet af runtime som partition \\\/usr, mens bundle monteres i mappen \\\/app. <\/p>\n
Indholdet af runtime og applikationscontainere dannes ved hj\u00e6lp af OSTree-teknologi, hvor billedet atomart opdateres fra et Git-lignende lager, der muligg\u00f8r anvendelse af versionskontrolmetoder p\u00e5 komponenterne i distributionen (for eksempel kan systemet hurtigt rulles tilbage til en tidligere tilstand). RPM-pakker overs\u00e6ttes til OSTree-repositoryet ved hj\u00e6lp af et specielt lag rpm-ostree. Separat installation og opdatering af pakker inden for det arbejdsmilj\u00f8 underst\u00f8ttes ikke, systemet opdateres ikke p\u00e5 niveauet af individuelle komponenter, men som helhed, atomart \u00e6ndrende sin tilstand. Der stilles midler til r\u00e5dighed for inkrementelle anvendelser af opdateringer, der fjerner behovet for en fuld erstatning af billedet ved hver opdatering. <\/p>\n
Det isolerede milj\u00f8, der dannes, er fuldst\u00e6ndig uafh\u00e6ngigt af det anvendte distribution og har ved passende pakkeindstillinger ikke adgang til brugerens eller hovedsystemets filer og processer, kan ikke direkte tilg\u00e5 hardware, undtagen ved uddata gennem DRI, og ved anmodninger til netv\u00e6rkssystemet. Grafikudgang og inputorganisationen gennemf\u00f8res ved hj\u00e6lp af Wayland-protokollen eller via X11 socket-passthrough. Interaktion med den eksterne verden er baseret p\u00e5 DBus-messagesystemet og et s\u00e6rligt API Portals. <\/p>\n
For isolation, a Bubblewrap layer and traditional Linux container virtualization technologies are used, based on the use of cgroups, namespaces, Seccomp, and SELinux. PulseAudio is used for audio output. Isolation can be disabled, which many popular package developers take advantage of to gain full access to the file system and all devices in the system. For example, packages like GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity, and VLC come with a limited isolation mode that allows full access to the home directory. <\/p>\n