Die neue stabile Version des Flatpak-Tools 1.12 wurde ver\u00f6ffentlicht, das ein System zur Erstellung von eigenst\u00e4ndigen Paketen bietet, die nicht an bestimmte Linux-Distributionen gebunden sind und in einem speziellen Container ausgef\u00fchrt werden, der die Anwendung vom Rest des Systems isoliert. Die Ausf\u00fchrung von Flatpak-Paketen wird f\u00fcr Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux und Ubuntu unterst\u00fctzt. Flatpak-Pakete sind im Fedora-Repository enthalten und werden im Standard-Anwendungsverwaltungssystem GNOME unterst\u00fctzt. <\/p>\n
Die wichtigsten Neuerungen in der Flatpak 1.12 Version: <\/p>\n
Infolgedessen konnte ein Angreifer durch die Ausf\u00fchrung von Systemaufrufen zum Mounten die Sandbox-Isolation umgehen und hatte vollen Zugriff auf den Inhalt der Host-Umgebung. Die Ausnutzung der Sicherheitsanf\u00e4lligkeit ist nur in Paketen m\u00f6glich, die den Anwendungen direkten Zugriff auf die AF_UNIX-Sockets gew\u00e4hren, die beispielsweise in Wayland, Pipewire und pipewire-pulse verwendet werden. In der Version 1.12.0 wurde die Sicherheitsanf\u00e4lligkeit nicht vollst\u00e4ndig behoben, weshalb kurz danach das Update 1.12.1 ver\u00f6ffentlicht wurde. <\/ul>\n
Wir erinnern daran, dass Flatpak-Anwendungsentwicklern die M\u00f6glichkeit bietet, die Verbreitung ihrer Programme zu vereinfachen, die nicht in den Standard-Repositories der Distributionen verf\u00fcgbar sind, indem sie einen universellen Container vorbereiten, ohne separate Builds f\u00fcr jede Distribution erstellen zu m\u00fcssen. Benutzern, die auf Sicherheit bedacht sind, erm\u00f6glicht Flatpak, problematische Anwendungen in einem Container auszuf\u00fchren und dabei nur auf Netzwerkfunktionen sowie auf benutzerspezifische Dateien zuzugreifen, die mit der Anwendung in Verbindung stehen. Benutzern, die an Neuigkeiten interessiert sind, erlaubt Flatpak, die neuesten Test- und stabilen Versionen von Anwendungen zu installieren, ohne \u00c4nderungen am System vorzunehmen. Beispielsweise werden Flatpak-Pakete f\u00fcr LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio usw. bereitgestellt. <\/p>\n
Um die Paketgr\u00f6\u00dfe zu reduzieren, enth\u00e4lt es nur spezifische Abh\u00e4ngigkeiten f\u00fcr die Anwendung, w\u00e4hrend grundlegende system- und grafikbibliotheken (GTK, Qt, GNOME- und KDE-Bibliotheken usw.) als Plug-in-Standard-Runtime-Umgebungen bereitgestellt werden. Der wesentliche Unterschied zwischen Flatpak und Snap besteht darin, dass Snap die Komponenten der Hauptsystemumgebung und eine Isolation auf der Basis von gefilterten Systemaufrufen verwendet, w\u00e4hrend Flatpak einen vom System getrennten Container erstellt und gro\u00dfe Runtime-Sets verwendet, wobei nicht Pakete, sondern Standard-Systemumgebungen (zum Beispiel alle Bibliotheken, die f\u00fcr die Ausf\u00fchrung von GNOME- oder KDE-Programmen erforderlich sind) als Abh\u00e4ngigkeiten bereitgestellt werden. <\/p>\n
Neben der typischen Systemumgebung (runtime), die \u00fcber ein spezielles Repository installiert wird, werden zus\u00e4tzliche Abh\u00e4ngigkeiten (bundle) bereitgestellt, die f\u00fcr den Betrieb der Anwendung erforderlich sind. Zusammen bilden runtime und bundle die Inhalte des Containers, wobei runtime separat installiert wird und gleichzeitig mit mehreren Containern verbunden ist, was eine Duplizierung gemeinsamer Systemdateien f\u00fcr die Container vermeidet. In einem System k\u00f6nnen mehrere unterschiedliche runtimes (GNOME, KDE) oder mehrere Versionen einer runtime (GNOME 3.40, GNOME 3.42) installiert werden. Der Container mit der Anwendung als Abh\u00e4ngigkeit verwendet die Bindung nur an eine bestimmte runtime, ohne Ber\u00fccksichtigung der einzelnen Pakete, aus denen die runtime besteht. Alle fehlenden Elemente werden direkt mit der Anwendung verpackt. Bei der Erstellung des Containers wird der Inhalt der runtime als Partition \/usr gemountet, w\u00e4hrend das bundle im Verzeichnis \/app gemountet wird. <\/p>\n
Die Inhalte der runtime und der Anwendungscontainer werden mit der OSTree-Technologie erstellt, bei der das Abbild atomar aus einem git-\u00e4hnlichen Repository aktualisiert wird, das es erm\u00f6glicht, Methoden der Versionskontrolle auf die Komponenten des Distributionspakets anzuwenden (zum Beispiel kann das System schnell in einen vorherigen Zustand zur\u00fcckgesetzt werden). RPM-Pakete werden \u00fcber eine spezielle Schicht rpm-ostree in das OSTree-Repository \u00fcbertragen. Eine separate Installation und Aktualisierung von Paketen innerhalb der Arbeitsumgebung wird nicht unterst\u00fctzt, das System wird nicht auf der Ebene einzelner Komponenten, sondern als Ganzes aktualisiert, indem es atomar seinen Zustand \u00e4ndert. Es stehen Mittel zur Verf\u00fcgung, um inkrementelle Aktualisierungen anzuwenden, die die Notwendigkeit einer vollst\u00e4ndigen Ersetzung des Abbilds bei jeder Aktualisierung beseitigen. <\/p>\n
Die gebildete isolierte Umgebung ist vollst\u00e4ndig unabh\u00e4ngig von der verwendeten Distribution und hat bei ordnungsgem\u00e4\u00dfer Paketkonfiguration keinen Zugang zu den Dateien und Prozessen des Benutzers oder des Hauptsystems, kann nicht direkt auf die Hardware zugreifen, mit Ausnahme der Ausgabe \u00fcber DRI, sowie Zugriffe auf die Netzwerksubsystem. Die Ausgabe der Grafik und die Eingabeverwaltung erfolgen \u00fcber das Protokoll Wayland oder durch das Durchreichen von X11-Sockets. Die Interaktion mit der Au\u00dfenwelt basiert auf dem DBus-Nachrichtenaustauschsystem und einer speziellen API namens Portals. <\/p>\n
Zur Isolierung werden Bubblewrap und die traditionellen Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. F\u00fcr die Audioausgabe kommt PulseAudio zum Einsatz. Dabei kann die Isolierung deaktiviert werden, wovon viele Entwickler popul\u00e4rer Pakete Gebrauch machen, um vollen Zugriff auf das Dateisystem und alle Ger\u00e4te im System zu erhalten. Beispielsweise werden Pakete wie GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity und VLC mit einem eingeschr\u00e4nkten Isolationsmodus geliefert, der vollen Zugang zum Home-Verzeichnis gew\u00e4hrt. <\/p>\n