Eine neue stabile Version des Flatpak-Tools 1.12 wurde ver\u00f6ffentlicht. Dieses Tool bietet ein System zur Erstellung eigenst\u00e4ndiger Pakete, die nicht an bestimmte Linux-Distributionen gebunden sind und in einem speziellen Container ausgef\u00fchrt werden, der die Anwendung von dem Rest des Systems isoliert. Die Ausf\u00fchrung von Flatpak-Paketen wird unterst\u00fctzt f\u00fcr Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux und Ubuntu. Flatpak-Pakete sind im Fedora-Repository enthalten und werden in der Standard-Anwendungsverwaltungssoftware GNOME unterst\u00fctzt. <\/p>\n
Hauptinnovationen in Flatpak 1.12: <\/p>\n
Infolgedessen konnte ein Angreifer durch den Aufruf von systembezogenen Einh\u00e4ngesystemaufrufen die Sandbox-Isolationsmechanismen umgehen und vollst\u00e4ndigen Zugriff auf den Inhalt der Host-Umgebung erhalten. Die Ausnutzung der Schwachstelle ist nur in Paketen m\u00f6glich, die Anwendungen direkten Zugriff auf AF_UNIX-Sockets gew\u00e4hren, die beispielsweise in Wayland, Pipewire und pipewire-pulse verwendet werden. In der Version 1.12.0 wurde die Schwachstelle nicht vollst\u00e4ndig behoben, daher wurde kurzfristig das Update 1.12.1 ver\u00f6ffentlicht. <\/ul>\n
Flatpak bietet Entwicklern die M\u00f6glichkeit, die Verbreitung ihrer Anwendungen zu vereinfachen, indem sie einen universellen Container erstellen, der keine separaten Builds f\u00fcr jede Distribution erfordert. Dies ist besonders vorteilhaft f\u00fcr Programme, die nicht in den Standard-Repositories der Distributionen enthalten sind. F\u00fcr sicherheitsbewusste Nutzer erm\u00f6glicht Flatpak die Ausf\u00fchrung von potenziell unsicheren Anwendungen in einem Container, der nur Zugriff auf die ben\u00f6tigten Netzwerkfunktionen und die benutzerspezifischen Dateien gew\u00e4hrt, die mit der Anwendung verbunden sind. Technikbegeisterte k\u00f6nnen mit Flatpak die neuesten Test- und Stabilversionen von Anwendungen installieren, ohne dass \u00c4nderungen am System erforderlich sind. Beispielsweise werden Flatpak-Pakete f\u00fcr LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio usw. bereitgestellt. <\/p>\n
Um die Paketgr\u00f6\u00dfe zu reduzieren, beinhaltet es nur anwendungsspezifische Abh\u00e4ngigkeiten, w\u00e4hrend grundlegende system- und grafikbezogene Bibliotheken (GTK, Qt, GNOME- und KDE-Bibliotheken usw.) in Form von modularen Laufzeitumgebungen bereitgestellt werden. Der wesentliche Unterschied zwischen Flatpak und Snap besteht darin, dass Snap Komponenten der Hauptsystemumgebung und eine Isolation durch Systemaufruf-Filterung verwendet, w\u00e4hrend Flatpak einen vom System getrennten Container erstellt und mit gro\u00dfen Laufzeitpaketen arbeitet, die nicht als Pakete, sondern als modulare Systemumgebungen bereitgestellt werden (z. B. alle Bibliotheken, die f\u00fcr die Ausf\u00fchrung von GNOME- oder KDE-Anwendungen erforderlich sind). <\/p>\n
Neben der typischen Systemumgebung (Runtime), die \u00fcber ein spezielles Repository installiert wird, werden zus\u00e4tzliche Abh\u00e4ngigkeiten (Bundle) bereitgestellt, die f\u00fcr den Betrieb der Anwendung erforderlich sind. Insgesamt bilden Runtime und Bundle die Basis des Containers, wobei die Runtime separat installiert wird und mehreren Containern zugeordnet werden kann, was eine Duplizierung gemeinsamer Systemdateien f\u00fcr die Container vermeidet. In einem System k\u00f6nnen verschiedene Runtimes (GNOME, KDE) oder mehrere Versionen einer Runtime (GNOME 3.40, GNOME 3.42) installiert sein. Der Container mit der Anwendung als Abh\u00e4ngigkeit verwendet nur die Bindung zu einer bestimmten Runtime, ohne die einzelnen Pakete zu ber\u00fccksichtigen, aus denen die Runtime besteht. Alle fehlenden Elemente werden direkt zusammen mit der Anwendung verpackt. Beim Erstellen des Containers wird der Inhalt der Runtime als das Verzeichnis \\\/usr gemountet, w\u00e4hrend das Bundle im Verzeichnis \\\/app gemountet wird. <\/p>\n
Die Runtime und die Anwendung Container werden mithilfe der OSTree-Technologie erstellt, bei der das Abbild atomar aus einem Git-\u00e4hnlichen Repository aktualisiert wird. Dies erm\u00f6glicht es, Methoden der Versionskontrolle auf die Komponenten des Distributionspakets anzuwenden (zum Beispiel kann das System schnell auf einen fr\u00fcheren Zustand zur\u00fcckgesetzt werden). RPM-Pakete werden mittels einer speziellen Schicht namens rpm-ostree in das OSTree-Repository \u00fcbertragen. Eine separate Installation und Aktualisierung von Paketen innerhalb der Arbeitsumgebung wird nicht unterst\u00fctzt; das System wird nicht auf Komponentenbasis aktualisiert, sondern vollst\u00e4ndig, wobei sein Zustand atomar ge\u00e4ndert wird. Es stehen Werkzeuge zur inkrementellen Anwendung von Updates zur Verf\u00fcgung, die die Notwendigkeit einer vollst\u00e4ndigen Ersetzung des Abbilds bei jedem Update beseitigen. <\/p>\n
Die isolierte Umgebung wird unabh\u00e4ngig vom verwendeten Distribution vollst\u00e4ndig erstellt. Bei entsprechender Konfiguration des Pakets hat sie keinen Zugriff auf die Dateien und Prozesse des Benutzers oder des Hauptsystems und kann nicht direkt auf die Hardware zugreifen, mit Ausnahme von Ausgaben \u00fcber DRI und Anfragen an die Netzwerksubsystem. Die Grafikausgabe und die Eingabesteuerung werden \u00fcber das Wayland-Protokoll oder durch Durchreichen eines X11-Sockets realisiert. Die Interaktion mit der externen Umgebung basiert auf dem DBus-Nachrichtenaustauschsystem und einer speziellen API f\u00fcr Portale. <\/p>\n
Zur Isolierung wird ein Bubblewrap-Layer zusammen mit traditionellen Linux-Technologien der Container-Virtualisierung, die auf cgroups, Namespaces, Seccomp und SELinux basieren, eingesetzt. F\u00fcr die Audioausgabe wird PulseAudio verwendet. Dabei kann die Isolierung abgeschaltet werden, was von Entwicklern vieler beliebter Pakete genutzt wird, um kompletten Zugriff auf das Dateisystem und alle Ger\u00e4te im System zu erhalten. Zum Beispiel werden Pakete wie GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity und VLC mit einem eingeschr\u00e4nkten Isolationsmodus geliefert, der vollen Zugriff auf das Home-Verzeichnis l\u00e4sst. <\/p>\n