Michael Catanzaro, en af udviklerne af webbrowseren Epiphany (GNOME Web), der deltager i projekterne GNOME og Fedora, har foresl\u00e5et at genoverveje brugen af kataloget FlatHub i Fedora Linux. I den atomisk opdaterede udgave af Fedora Workstation foresl\u00e5s det at aktivere kataloget FlatHub som standard for flatpak-pakker, der installeres af brugerne, mens det eget repository for flatpak-pakker begr\u00e6nses til kun at anvendes til forudinstallerede pakker. <\/p>\n
I \u00f8jeblikket tilbyder Fedora som standard sin egen flatpak-repository, hvis indhold er baseret p\u00e5 genopbygning af rpm-pakker. Som standard kan download af pakker fra FlatHub kun aktiveres efter installationen ved at aktivere indstillingen \"Enable Third-Party Repositories\" i GNOME applikationsh\u00e5ndtereren, men selv i dette tilf\u00e6lde har pakkerne fra Fedora-repository en h\u00f8jere prioritet. <\/p>\n
If\u00f8lge Michael ville de fleste brugere foretr\u00e6kke at installere pakker fra kataloget FlatHub, som samles af de prim\u00e6re udviklere af applikationerne, snarere end af dem, der f\u00f8lger med Fedora (80% af deltagerne i diskussionen stemte for brugen af FlatHub). Det antages, at applikationsudviklerne bedre kender detaljerne i deres projekter og samler flatpak-pakker, der fungerer bedre og er mere grundigt testet af f\u00e6llesskabet. Samtidig viser de underst\u00f8ttende rpm-pakker i Fedora ikke interesse for at vedligeholde varianter af pakker i flatpak-format og giver ikke tilstr\u00e6kkelig opm\u00e6rksomhed p\u00e5 fejlmeddelelser i s\u00e5danne pakker, hvilket f\u00f8rer til, at kvaliteten af flatpak-pakkerne fra Fedora er lavere end de, der findes i FlatHub, fra de prim\u00e6re projekter. <\/p>\n
Mange brugere er ikke klar over, at hvis de installerer en flatpak-pakke gennem Fedora-applikationsmanageren, bliver den ikke installeret fra FlatHub, som det er tilf\u00e6ldet med andre distributioner, men fra Fedora-repositoryet, hvis pakker adskiller sig fra variantene fra FlatHub. Dette f\u00f8rer til, at problemer, der er specifikke for pakkerne fra Fedora-repositoryet, opfattes som problemer i de officielle pakker fra FlatHub, og klagerne rettes mod de prim\u00e6re udviklere og ikke mod dem, der f\u00f8lger med Fedora. For eksempel f\u00f8rte levering af den problematiske flatpak-pakke OBS Studio i Fedora, som havde h\u00f8jere prioritet end pakken fra FlatHub, til en konflikt med OBS Studio-projektet i februar. <\/p>\n
Fremtiden for Fedora Workstation ses som en atomar opdateringsdistribution, s\u00e5 sp\u00f8rgsm\u00e5let om overgangen til FlatHub b\u00f8r ikke forsinkes. Anvendelsen af et eget Flatpak-repositorium er begrundet i n\u00f8dvendigheden af at bygge i et p\u00e5lideligt milj\u00f8. For pakkerne i FlatHub, selv n\u00e5r der kun tages h\u00f8jde for de verificerede pakker, som de prim\u00e6re projekter er ansvarlige for, udf\u00f8res bygning i eksterne infrastrukturer, hvis sikkerhed kan v\u00e6re tvivlsom. <\/p>\n
Fordelene ved at opretholde et eget repository i Fedora inkluderer garantier for, at pakken er bygget fra den angivne kildekode og kun indeholder komponenter under \u00e5bne licenser, der er godkendt til brug af Fedora. Pakker i Fedora-repositoriet kan ogs\u00e5 inkludere patcher, der kun er tilg\u00e6ngelige for RPM-pakker i Fedora og endnu ikke er godkendt til den prim\u00e6re kodebase af projekterne. <\/p>\n
Michaels forslag g\u00e5r ud p\u00e5 at inkludere underst\u00f8ttelse af installation af pakker fra FlatHub, der er kategoriseret som \"fri software\", som standard i den atomare udgave af Fedora Workstation. Muligheden for installation fra FlatHub vil kun g\u00e6lde for pakker, der installeres af brugerne via GNOME Software applikationsh\u00e5ndtereren. Alle standardforinstallerede flatpak-pakker vil fortsat blive hentet fra Fedora's eget repository, men for de ikke-standardpakker vil FlatHub blive anvendt som kilde til download. <\/p>\n
F\u00f8r overgangen til FlatHub foresl\u00e5s det at implementere muligheder for pakkeopbygning i en p\u00e5lidelig infrastruktur i FlatHub og at anvende kontroller baseret p\u00e5 reproducerbare bygninger. Derudover b\u00f8r sp\u00f8rgsm\u00e5let om anvendelse af for\u00e6ldede versioner af Flatpak Runtime i pakkerne, som ikke l\u00e6ngere modtager sikkerhedsrettelser, adresseres. I \u00f8jeblikket bruger 994 ud af 3438 (n\u00e6sten en tredjedel) af de verificerede pakker fra FlatHub for\u00e6ldede Runtime. Sikkerhedsproblemer opst\u00e5r ogs\u00e5 som f\u00f8lge af for\u00e6ldede interne afh\u00e6ngigheder, der inkluderes i pakkerne, og anvendelse af utilstr\u00e6kkelige sandkasse-isolationsforanstaltninger (udviklerne af nogle pakker deaktiverer beskyttelsesmodi). <\/p>\n