Michael Catanzaro, einer der Entwickler des Webbrowsers Epiphany (GNOME Web), der an Projekten von GNOME und Fedora beteiligt ist, hat vorgeschlagen, die Nutzung des FlatHub-Katalogs in Fedora Linux zu \u00fcberdenken. In der atomar aktualisierbaren Version von Fedora Workstation wird vorgeschlagen, den FlatHub-Katalog standardm\u00e4\u00dfig f\u00fcr von Benutzern installierte Flatpak-Pakete zu verwenden, w\u00e4hrend das eigene Repository f\u00fcr Flatpak-Pakete nur auf vorinstallierte Pakete beschr\u00e4nkt werden soll. <\/p>\n
Derzeit wird in Fedora standardm\u00e4\u00dfig ein eigener Flatpak-Repository angeboten, dessen Inhalte auf der Neuverpackung von RPM-Paketen basieren. Die Installation von Paketen aus FlatHub kann standardm\u00e4\u00dfig erst nach der Installation aktiviert werden, indem die Option \"Enable Third-Party Repositories\" im GNOME-Anwendungsmanager aktiviert wird. Selbst in diesem Fall haben Pakete aus dem Fedora-Repository jedoch eine h\u00f6here Priorit\u00e4t. <\/p>\n
Laut Michael w\u00fcrden die meisten Benutzer die Installation von Paketen aus dem FlatHub-Katalog bevorzugen, die von den Hauptentwicklern der Anwendungen erstellt werden, anstatt von Fedora bereitgestellten (80 % der Diskussionsteilnehmer sprachen sich f\u00fcr die Nutzung von FlatHub aus). Es wird angenommen, dass die Anwendungsentwickler sich besser mit den Besonderheiten ihrer Projekte auskennen und qualitativ hochwertigere Flatpak-Pakete erstellen, die besser von der Community getestet werden. Gleichzeitig zeigen die begleitenden RPM-Pakete in Fedora kein Interesse an der Unterst\u00fctzung von Paketvarianten im Flatpak-Format und schenken den Fehlermeldungen zu solchen Paketen nicht die erforderliche Aufmerksamkeit, was dazu f\u00fchrt, dass die Qualit\u00e4t der Flatpak-Pakete von Fedora geringer ist als die der in FlatHub bereitgestellten Pakete von den Hauptprojekten. <\/p>\n
Viele Benutzer sind sich nicht bewusst, dass beim Installieren eines Flatpak-Pakets \u00fcber den Anwendungsmanager von Fedora es nicht aus FlatHub, wie in anderen Distributionen, sondern aus dem Fedora-Repository installiert wird, dessen Pakete sich von den Varianten aus FlatHub unterscheiden. Daher werden Probleme, die spezifisch f\u00fcr Pakete aus dem Fedora-Repository sind, als Probleme in den offiziellen Paketen von FlatHub wahrgenommen, und die Beschwerden richten sich an die Hauptentwickler und nicht an die Betreuer von Fedora. Zum Beispiel f\u00fchrte die Bereitstellung des problematischen Flatpak-Pakets OBS Studio in Fedora, das im Februar priorisiert wurde, zu einem Konflikt mit dem OBS Studio-Projekt. <\/p>\n
Es wird darauf hingewiesen, dass die Zukunft von Fedora Workstation als atomar aktualisierende Distribution gesehen wird, weshalb die Frage des Wechsels zu FlatHub besser nicht hinausgez\u00f6gert werden sollte. Die Nutzung eines eigenen Flatpak-Repositories ist notwendig, um eine vertrauensw\u00fcrdige Umgebung f\u00fcr den Build-Prozess zu gew\u00e4hrleisten. F\u00fcr Pakete in FlatHub, selbst wenn wir nur verifiziertes Material betrachten, f\u00fcr dessen Ver\u00f6ffentlichung die Hauptprojekte verantwortlich sind, erfolgt der Build in externen Infrastrukturen, deren Sicherheit fraglich sein kann. <\/p>\n
Zu den Vorteilen der Pflege eines eigenen Repositories in Fedora geh\u00f6rt die Garantie, dass das Paket aus dem angegebenen Quellcode erstellt wurde und nur Komponenten enth\u00e4lt, die unter von Fedora genehmigten Open-Source-Lizenzen stehen. Pakete im Fedora-Repository k\u00f6nnen auch Patches enthalten, die nur f\u00fcr RPM-Pakete in Fedora verf\u00fcgbar sind und bislang nicht in den Hauptcode der Projekte aufgenommen wurden. <\/p>\n
Michaels Vorschlag besteht darin, die Unterst\u00fctzung f\u00fcr die Installation von Paketen aus FlatHub, die in der Kategorie \"freie Software\" sind, standardm\u00e4\u00dfig in der atomaren Edition von Fedora Workstation einzuschlie\u00dfen. Die M\u00f6glichkeit, aus FlatHub zu installieren, betrifft nur die Pakete, die von Benutzern \u00fcber den GNOME Software-Anwendungsmanager installiert werden. Alle standardm\u00e4\u00dfig vorinstallierten Flatpak-Pakete werden weiterhin aus dem eigenen Fedora-Repository heruntergeladen, aber f\u00fcr nicht standardm\u00e4\u00dfig verwendete Pakete wird empfohlen, FlatHub als Quelle f\u00fcr den Download zu nutzen. <\/p>\n
Vor der Umstellung auf FlatHub wird empfohlen, gemeinsam die M\u00f6glichkeiten zur Paketbildung in einer vertrauensw\u00fcrdigen Infrastruktur in FlatHub zu implementieren und Reproduzierbarkeitspr\u00fcfungen durchzuf\u00fchren. Dar\u00fcber hinaus sollte das Problem der Verwendung veralteter Versionen des Flatpak Runtime in den Paketen gekl\u00e4rt werden, f\u00fcr die keine Sicherheitsupdates mehr bereitgestellt werden. Derzeit verwenden 994 von 3438 (fast ein Drittel) der gepr\u00fcften Pakete aus FlatHub veraltete Runtime. Sicherheitsprobleme entstehen zudem durch veraltete interne Abh\u00e4ngigkeiten, die in die Pakete eingestellt werden, sowie durch unzureichende Ma\u00dfnahmen zur Sandbox-Isolierung (einige Paketentwickler deaktivieren Schutzmodi). <\/p>\n