Michael Catanzaro, einer der Entwickler des Webbrowsers Epiphany (GNOME Web), der an Projekten von GNOME und Fedora beteiligt ist, hat vorgeschlagen, die Nutzung des FlatHub-Katalogs in Fedora Linux zu überdenken. In der atomar aktualisierbaren Version von Fedora Workstation wird vorgeschlagen, den FlatHub-Katalog standardmäßig für von Benutzern installierte Flatpak-Pakete zu verwenden, während das eigene Repository für Flatpak-Pakete nur auf vorinstallierte Pakete beschränkt werden soll.
Aktuell wird in Fedora standardmäßig ein eigenes Flatpak-Repository angeboten, dessen Inhalt auf der Neuarchivierung von RPM-Paketen basiert. Die Möglichkeit, Pakete aus FlatHub herunterzuladen, kann nur nach der Installation aktiviert werden, indem die Option „Enable Third-Party Repositories“ im GNOME-Anwendungsmanager aktiviert wird. Selbst dann haben Pakete aus dem Fedora-Repository eine höhere Priorität.
Laut Michael würden die meisten Benutzer die Installation von Paketen aus dem FlatHub-Katalog bevorzugen, die von den Hauptentwicklern der Anwendungen erstellt werden, anstatt von Fedora bereitgestellten (80 % der Diskussionsteilnehmer sprachen sich für die Nutzung von FlatHub aus). Es wird angenommen, dass die Anwendungsentwickler sich besser mit den Besonderheiten ihrer Projekte auskennen und qualitativ hochwertigere Flatpak-Pakete erstellen, die besser von der Community getestet werden. Gleichzeitig zeigen die begleitenden RPM-Pakete in Fedora kein Interesse an der Unterstützung von Paketvarianten im Flatpak-Format und schenken den Fehlermeldungen zu solchen Paketen nicht die erforderliche Aufmerksamkeit, was dazu führt, dass die Qualität der Flatpak-Pakete von Fedora geringer ist als die der in FlatHub bereitgestellten Pakete von den Hauptprojekten.
Viele Benutzer sind sich nicht bewusst, dass beim Installieren eines Flatpak-Pakets über den Anwendungsmanager von Fedora es nicht aus FlatHub, wie in anderen Distributionen, sondern aus dem Fedora-Repository installiert wird, dessen Pakete sich von den Varianten aus FlatHub unterscheiden. Daher werden Probleme, die spezifisch für Pakete aus dem Fedora-Repository sind, als Probleme in den offiziellen Paketen von FlatHub wahrgenommen, und die Beschwerden richten sich an die Hauptentwickler und nicht an die Betreuer von Fedora. Zum Beispiel führte die Bereitstellung des problematischen Flatpak-Pakets OBS Studio in Fedora, das im Februar priorisiert wurde, zu einem Konflikt mit dem OBS Studio-Projekt.
Es wird darauf hingewiesen, dass die Zukunft von Fedora Workstation als atomar aktualisierende Distribution gesehen wird, weshalb die Frage des Wechsels zu FlatHub besser nicht hinausgezögert werden sollte. Die Nutzung eines eigenen Flatpak-Repositories ist notwendig, um eine vertrauenswürdige Umgebung für den Build-Prozess zu gewährleisten. Für Pakete in FlatHub, selbst wenn wir nur verifiziertes Material betrachten, für dessen Veröffentlichung die Hauptprojekte verantwortlich sind, erfolgt der Build in externen Infrastrukturen, deren Sicherheit fraglich sein kann.
Zu den Vorteilen der Pflege eines eigenen Repositories in Fedora gehört die Garantie, dass das Paket aus dem angegebenen Quellcode erstellt wurde und nur Komponenten enthält, die unter von Fedora genehmigten Open-Source-Lizenzen stehen. Pakete im Fedora-Repository können auch Patches enthalten, die nur für RPM-Pakete in Fedora verfügbar sind und bislang nicht in den Hauptcode der Projekte aufgenommen wurden.
Michaels Vorschlag zielt darauf ab, standardmäßig in der atomaren Edition von Fedora Workstation die Unterstützung für die Installation von Paketen aus FlatHub, die in der Kategorie „freie Software“ angesiedelt sind, einzuschließen. Die Möglichkeit zur Installation aus FlatHub betrifft nur die von Benutzern über den GNOME Software App-Manager installierten Pakete. Alle standardmäßig vorinstallierten Flatpak-Pakete werden weiterhin aus dem eigenen Fedora-Repository heruntergeladen, jedoch wird für nicht standardmäßige Pakete FlatHub als Quelle für den Download vorgeschlagen.
Vor der Umstellung auf FlatHub wird empfohlen, gemeinsam die Möglichkeiten zur Paketbildung in einer vertrauenswürdigen Infrastruktur in FlatHub zu implementieren und Reproduzierbarkeitsprüfungen durchzuführen. Darüber hinaus sollte das Problem der Verwendung veralteter Versionen des Flatpak Runtime in den Paketen geklärt werden, für die keine Sicherheitsupdates mehr bereitgestellt werden. Derzeit verwenden 994 von 3438 (fast ein Drittel) der geprüften Pakete aus FlatHub veraltete Runtime. Sicherheitsprobleme entstehen zudem durch veraltete interne Abhängigkeiten, die in die Pakete eingestellt werden, sowie durch unzureichende Maßnahmen zur Sandbox-Isolierung (einige Paketentwickler deaktivieren Schutzmodi).
Neben Michael hat auch Timothée Ravier ein ähnliches Angebot unterbreitet: In Fedora 43 wird vorgeschlagen, die Bereitstellung von vorinstallierten Flatpak-Paketen aus dem Fedora-Repository fortzusetzen, jedoch einen Filter hinzuzufügen, der die Installation ausgewählter geprüfter Anwendungen aus FlatHub erlaubt. Zu den Vorteilen dieser Lösung gehört eine Verringerung der Verwirrung für Benutzer und Entwickler der Hauptprojekte (Entwickler müssen Fehlermeldungen bearbeiten, die spezifisch für die Fedora Flatpak-Pakete sind, aber fälschlicherweise als Teil des offiziellen Flatpak-Pakets betrachtet werden). Diese Änderung wird auch die Last für die Wartungsteam reduzieren und es ihnen ermöglichen, sich auf die Weitergabe von Korrekturen an die Hauptprojekte und die Testung der standardmäßig vorinstallierten Flatpak-Pakete zu konzentrieren.
Quelle: opennet.ru
