Michael Catanzaro, einer der Entwickler des Web-Browsers Epiphany (GNOME Web), der an Projekten von GNOME und Fedora beteiligt ist, schlägt vor, die Nutzung des FlatHub-Katalogs in Fedora Linux zu überdenken. In der atomar aktualisierbaren Version von Fedora Workstation wird vorgeschlagen, standardmäßig den FlatHub-Katalog für von Benutzern installierte Flatpak-Pakete zu aktivieren und das eigene Repository für Flatpak-Pakete nur für vorinstallierte Pakete zu verwenden.
Derzeit wird in Fedora standardmäßig ein eigenes Flatpak-Repository angeboten, dessen Inhalte auf der Neubearbeitung von RPM-Paketen basieren. Die Installation von Paketen aus FlatHub kann standardmäßig nur nach der Installation aktiviert werden, indem die Option „Enable Third-Party Repositories“ im GNOME-Anwendungsmanager aktiviert wird. Selbst dann haben Pakete aus dem Fedora-Repository jedoch eine höhere Priorität.
Laut Michael würden die meisten Nutzer die Installation von Paketen aus dem FlatHub-Katalog, die von den Hauptentwicklern der Anwendungen gesammelt werden, bevorzugen, anstatt von denen, die Fedora unterstützen (80 % der Diskussionsteilnehmer waren für die Nutzung von FlatHub). Es wird angenommen, dass die Anwendungsentwickler die Nuancen ihrer Projekte besser kennen und qualitativ hochwertigere, besser getestete Flatpak-Pakete erstellen. Gleichzeitig zeigen die begleitenden RPM-Pakete in Fedora kein Interesse daran, Varianten von Paketen im Flatpak-Format zu unterstützen, und schenken den Fehlerberichten zu solchen Paketen nicht ausreichend Beachtung, was dazu führt, dass die Qualität der Flatpak-Pakete von Fedora niedriger ist als die von FlatHub bereitgestellten Pakete der Hauptprojekte.
Viele Benutzer sind sich nicht bewusst, dass beim Installieren eines Flatpak-Pakets über den Fedora-Anwendungsmanager dieses nicht aus FlatHub installiert wird, wie in anderen Distributionen, sondern aus dem Fedora-Repository, dessen Pakete sich von den Varianten aus FlatHub unterscheiden. Dadurch werden spezifische Probleme mit Paketen aus dem Fedora-Repository als Probleme in den offiziellen Paketen von FlatHub angesehen, und die Beschwerden richten sich an die Hauptentwickler und nicht an die Unterstützer von Fedora. Zum Beispiel führte die Bereitstellung des fehlerhaften Flatpak-Pakets OBS Studio in Fedora, das höher priorisiert war als das Paket aus FlatHub, im Februar zu Konflikten mit dem OBS Studio-Projekt.
Es wird festgestellt, dass die Zukunft von Fedora Workstation als atomar aktualisierendes Distribution gesehen wird, weshalb die Frage eines Wechsels zu FlatHub nicht hinausgezögert werden sollte. Die Verwendung eines eigenen Flatpak-Repositorys ist durch die Notwendigkeit bedingt, in einer vertrauenswürdigen Umgebung zu bauen. Für die Pakete in FlatHub, selbst wenn man nur die verifizierten Pakete betrachtet, für deren Veröffentlichung die Hauptprojekte verantwortlich sind, erfolgt der Bau in externen Infrastrukturen, deren Sicherheit fragwürdig sein kann.
Zu den Vorteilen, ein eigenes Repository in Fedora zu führen, gehören die Garantien, dass das Paket aus dem angegebenen Quellcode gebaut wurde und nur Komponenten unter offenen Lizenzen enthält, die von Fedora zur Nutzung genehmigt sind. Pakete im Fedora-Repository können ebenfalls Patches enthalten, die nur für RPM-Pakete in Fedora verfügbar sind und noch nicht in die Hauptcodebasis der Projekte aufgenommen wurden.
Michaels Vorschlag zielt darauf ab, standardmäßig in der atomaren Edition von Fedora Workstation die Unterstützung für die Installation von Paketen aus FlatHub, die in der Kategorie „Freie Software“ befinden, zu integrieren. Die Möglichkeit, Pakete aus FlatHub zu installieren, wird sich nur auf Pakete beziehen, die von Benutzern über den GNOME Software-Anwendungsmanager installiert werden. Alle standardmäßig vorinstallierten Flatpak-Pakete werden weiterhin aus dem eigenen Repository von Fedora geladen, während für nicht standardmäßig verwendete Pakete angeboten werden soll, FlatHub als Quelle für den Download zu nutzen.
Vor dem Wechsel zu FlatHub wird vorgeschlagen, gemeinsam die Möglichkeiten für den Paketbau in einer vertrauenswürdigen Infrastruktur in FlatHub zu implementieren und Prüfungen auf Basis reproduzierbarer Builds durchzuführen. Zudem sollte das Problem des Einsatzes veralteter Versionen von Flatpak Runtime in Paketen gelöst werden, bei denen die Übertragung von Schwachstellenkorrekturen bereits eingestellt wurde. Derzeit verwenden 994 von 3438 (fast ein Drittel) der geprüften Pakete aus FlatHub veraltete Runtime. Sicherheitsprobleme ergeben sich auch aufgrund veralteter interner Abhängigkeiten, die in den Paketen enthalten sind, sowie unzureichender Maßnahmen zur Sandbox-Isolierung (Entwickler einiger Pakete deaktivieren Schutzmodi).
Neben Michael hat auch Timothée Ravier ein ähnliches Angebot gemacht: In Fedora 43 wird vorgeschlagen, die Lieferung vorinstallierter Flatpak-Pakete aus dem Fedora-Repository fortzusetzen, jedoch einen Filter hinzuzufügen, der die Installation ausgewählter, geprüfter Anwendungen aus FlatHub ermöglicht. Zu den Vorteilen des vorgeschlagenen Ansatzes gehört die Verringerung von Verwirrung bei den Nutzern und Entwicklern der Hauptprojekte (die Entwickler müssen Fehlermeldungen bearbeiten, die spezifisch für Flatpak-Pakete von Fedora sind, die fälschlicherweise als vorhanden in einem offiziellen Flatpak-Paket dargestellt werden). Die Änderung wird auch die Belastung für die Betreuer reduzieren und ihnen ermöglichen, sich auf das Einpflegen von Korrekturen in die Hauptprojekte und das Testen der standardmäßig vorinstallierten Flatpak-Pakete zu konzentrieren.
Quelle: opennet.ru
