Ilmus iseseisvate pakettide süsteem Flatpak 1.12.0

Avaldati uus stabiilne versioon Flatpaki tööriistakogust 1.12, mis pakub süsteemi iseseisvate pakettide loomiseks, mis ei ole seotud konkreetsete Linuxi distributsioonidega ning töötavad spetsiaalses konteineris, mis isoleerib rakenduse ülejäänud süsteemist. Flatpak-pakkide käitamise tugi on tagatud Arch Linuxi, CentOSi, Debian, Fedora, Gentoo, Mageia, Linux Minti, Alt Linuxi ja Ubuntu jaoks. Flatpak-paketid on lisatud Fedora hoidlasse ja neid toetatakse GNOME'i rakenduste haldamise programmis.

Olulised uuendused Flatpaki versioonis 1.12:

• Parandatud on sisemiste sandboxi keskkondade haldust, mida kasutatakse Flatpak-pakettides, mis on seotud Steam'i mängude kohaletoimetamise teenusega. Sisemistes sandboxides on lubatud luua eraldi kataloogihierarhiaid /usr ja /app, mida kasutatakse Steam'is mängude käitamiseks eraldi konteineris koos oma /usr jaotusega, mis on isoleeritud Steam'i kliendi keskkonnast.
• Kõikides pakettides, millel on sama rakenduse identifikaator (app-ID), on tagatud kataloogide /tmp ja $XDG_RUNTIME_DIR ühisosa. Valikuliselt saab lipuga «—allow=per-app-dev-shm» lubada /dev/shm ühiskatalooge kasutamise.
• Parandatud on toetust tekstipõhistele kasutajaliidese rakendustele (TUI), nagu gdb.
• Tööriista build-update-repo on lisatud kiirem versioon käsust «ostree prune», mis on optimeeritud hoidlate jaoks, mis on arhiveerimise režiimis.
• Parandatud on CVE-2021-41133 haavatavus portaalimehhanismi teostuses, mis oli seotud seccomp reeglite puudumisega, mis blokeerivad uusi süsteemi kõnesid, mis on seotud partiide montaažiga. See haavatavus võimaldas rakendusel luua sisemise sandboxi, et mööduda „portaalide“ verifitseerimise mehhanismidest, mis on loodud ressursside juurdepääsu korraldamiseks väljaspool konteinerit.

  Seega sai ründaja, kasutades montaažiga seotud süsteemikõnesid, mööda sandbox-isolatsiooni mehhanismist ning sai täieliku juurdepääsu host-keskkonna sisule. Haavatavuse ärakasutamine on võimalik ainult pakkides, mis võimaldavad rakendustele otse juurdepääsu AF_UNIX sokkidele, mida näiteks kasutatakse Waylandis, Pipewire'is ja pipewire-pulse'is. Versioonis 1.12.0 ei olnud haavatavust täielikult kõrvaldatud, seega anti välja kiire värskendus 1.12.1.

We remind that Flatpak provides application developers with a simplified way to distribute their programs that are not included in the official repositories of distributions by preparing a single universal container without the need to create separate builds for each distribution. For users concerned about security, Flatpak allows them to run potentially questionable applications in a container, providing access only to network functions and user files related to the application. For users interested in novelties, Flatpak allows them to install the latest testing and stable releases of applications without needing to modify their system. For example, Flatpak packages are available for LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, etc.

To reduce package size, it includes only application-specific dependencies, while basic system and graphical libraries (GTK, Qt, GNOME and KDE libraries, etc.) are packaged as plug-in standard runtime environments. The key difference between Flatpak and Snap is that Snap utilizes components from the host environment and isolation based on filtering system calls, while Flatpak creates a container separate from the system and operates with large runtime sets, providing not packages as dependencies but standardized system environments (for example, all libraries needed for running GNOME or KDE applications).

Lisaks tüüpilisele süsteemikeskkonnale (runtime), mis paigaldatakse spetsiaalsete hoiuste kaudu, tarnitakse ka täiendavaid sõltuvusi (bundle), mis on vajalikud rakenduse toimimiseks. Kokku moodustavad runtime ja bundle konteineri sisu, kusjuures runtime paigaldatakse eraldi ja sidub korraga mitu konteinerit, mis võimaldab vältida üldiste süsteemifailide dubleerimist konteinerite vahel. Ühes süsteemis võib olla paigaldatud mitu erinevat runtime'i (GNOME, KDE) või mitu versiooni ühest runtime'ist (GNOME 3.40, GNOME 3.42). Rakenduse konteiner, mis kasutab sõltuvust, seondub ainult konkreetse runtime'iga, arvestamata eraldi pakette, millest runtime koosneb. Kõik puuduvad elemendid pakitakse otse koos rakendusega. Konteineri loomisel mountitakse runtime'i sisu nagu jaotis /usr, samas kui bundle mountitakse katalooge /app.

Runtime'i ja rakenduste konteinerite sisu vormitakse OSTree tehnoloogia abil, kus pilt värskendatakse atomaarsetena Git-taolise hoidla kaudu, mis võimaldab rakendada versiooni kontrollimise meetodeid distributsiooni komponentide osas (näiteks on võimalik kiiresti tagasi pöörata süsteem varasemasse olekusse). RPM-paketid edastatakse OSTree hoidlasse spetsiaalse kihina rpm-ostree abil. Eraldi pakettide paigaldamine ja värskendamine töökeskkonnas ei ole toetatud, süsteemi värskendatakse mitte eraldi komponentide tasandil, vaid tervikuna, muutes oma olekut atomaarsetena. Pakutakse vahendeid, et rakendada inkrementaalseid värskendusi, vabastades vajadusest iga värskenduse korral tervet pilti asendada.

Kujundatud isoleeritud keskkond on täiesti sõltumatu kasutatavast distributsioonist ja korralike paketihäälestustega ei ole tal juurdepääsu kasutaja või põhiskeemi failidele ja protsessidele, ei saa ta otse pöörduda riistvara poole, välja arvatud väljund DRI kaudu ja pöördumised võrgusüsteemi. Graafika väljund ja sisendi korraldamine on rakendatud läbi Waylandi protokolli või X11 soketi edastamise kaudu. Ühendus väliskeskkonnaga põhineb sõnumivahetussüsteemil DBus ja spetsiaalsel API Portals.

Isolatsiooniks kasutatakse Bubblewrap’i kihte ja traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroup’idel, nimede ruumidel (namespaces), Seccomp’il ja SELinux’il. Helide edastamiseks kasutatakse PulseAudio’t. Samas on isolatsioon välja lülitatav, mida kasutavad paljude populaarsete pakettide arendajad, et saada täielik juurdepääs failisüsteemile ja kõigile seadmetele süsteemis. Näiteks pakuvad GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ja VLC piiratud isolatsiooniga režiimist, mis jätab täieliku juurdepääsu kodu kataloogile.

Pakettide, mis pääsevad kodu katalooge, kompromiteerimisel on piisav, et ründajal oleks võimalus oma koodi käivitamiseks muuta fail ~ / .bashrc, hoolimata paketi kirjelduses olevast sildist „sandboxed”. Eraldi küsimus on kontroll pakettides tehtud muudatuste üle ja usaldus pakettide koostajate vastu, kes sageli ei ole seotud põhiprojekti või -distriibutidega.

Allikas: opennet.ru