Flatpak 1.14.0 iseseisva paketihalduri väljaandmine

Avaldati uus stabiilne Flatpak 1.14 tööriistade haru, mis pakub süsteemi iseseisvate pakettide ehitamiseks, mis ei ole seotud konkreetsete Linuxi jaotustega ning runnivad spetsiaalses konteineris, isolerides rakenduse süsteemist. Flatpak paketid on toetatud Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux ja Ubuntu puhul. Flatpak paketid on lisatud Fedora repositooriumisse ja neid toetab GNOME'i enamike rakenduste haldamise programm.

Peamised uuendused Flatpak 1.14 harus:

• On tagatud katalooge loomine failide jaoks (.local/state) ning keskkonnamuutuja XDG_STATE_HOME, mis viitab sellele kataloogile.
• Lisatud tingimuslikud kontrollid "have-kernel-module-nimi" tuvastamiseks, kas on olemas kernelimoodulid (universaalne analoog varem pakutud kontrollile have-intel-gpu, mille asemel saab nüüd kasutada väljendit "have-kernel-module-i915").
• Tehtud käsk «flatpak document-unexport —doc-id=…».
• Tagatud Appstreami metainfo eksport peamise keskkonna kasutamiseks.
• Lisatud flatpaki käsurea autokomplekteerimise reeglid Fish shellile.
• Lubatud on võrguühenduse ligipääs X11 ja PulseAudio teenustele (sobivate seadistuste lisamise korral).
• Peamine haru Git repositooriumis on ümber nimetatud «master»-st «main»-iks, kuna sõna «master» on viimastel aegadel peetud poliitiliselt ebasobivaks.
• Tagatud on käivituskriptide ülekirjutamine, kui rakenduse nime muudetakse.
• Käsku install lisatud valik «—include-sdk» ja «—include-debug» SDK ja debuginfo failide installimiseks.
• Flatpakref ja flatpakrepo failidesse on lisatud toetust parameetrile «DeploySideloadCollectionID», mille korral kollektiivi identifikaator seatakse kaugrepository lisamisel, mitte pärast metainformatsiooni allalaadimist.
• Lubatud on pesa-ümbrike loomine töötlejatele seanssides, millel on eraldi MPRIS (Media Player Remote Interfacing Specification) nimed.
• Käsurea utiliitides on tagatud teabe väljund vananenud runtime-laienduste kasutamise kohta.
• Uninstall käsus on rakendatud kinnituspalve runtime või runtime-laienduste eemaldamiseks, mis on endiselt kasutuses.
• Käskudele nagu «flatpak run» on lisatud toetust valikule «—socket=gpg-agent».
• Libostree's vulnerability has been fixed, which could potentially allow a user to delete arbitrary files in the system through manipulation of the flatpak-system-helper handler (by sending a deletion request with a specially formatted branch name). The issue only affects older versions of Flatpak and libostree released prior to 2018 (< 0.10.2), and does not impact current releases.

We remind that Flatpak provides application developers with a simplified way to distribute their programs that are not included in the official repositories of distributions by preparing a single universal container without the need to create separate builds for each distribution. For users concerned about security, Flatpak allows them to run potentially questionable applications in a container, providing access only to network functions and user files related to the application. For users interested in novelties, Flatpak allows them to install the latest testing and stable releases of applications without needing to modify their system. For example, Flatpak packages are available for LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, etc.

To reduce package size, it includes only application-specific dependencies, while basic system and graphical libraries (GTK, Qt, GNOME and KDE libraries, etc.) are packaged as plug-in standard runtime environments. The key difference between Flatpak and Snap is that Snap utilizes components from the host environment and isolation based on filtering system calls, while Flatpak creates a container separate from the system and operates with large runtime sets, providing not packages as dependencies but standardized system environments (for example, all libraries needed for running GNOME or KDE applications).

Lisaks tüüpilisele süsteemikeskkonnale (runtime), mis paigaldatakse spetsiaalsete hoiuste kaudu, tarnitakse ka täiendavaid sõltuvusi (bundle), mis on vajalikud rakenduse toimimiseks. Kokku moodustavad runtime ja bundle konteineri sisu, kusjuures runtime paigaldatakse eraldi ja sidub korraga mitu konteinerit, mis võimaldab vältida üldiste süsteemifailide dubleerimist konteinerite vahel. Ühes süsteemis võib olla paigaldatud mitu erinevat runtime'i (GNOME, KDE) või mitu versiooni ühest runtime'ist (GNOME 3.40, GNOME 3.42). Rakenduse konteiner, mis kasutab sõltuvust, seondub ainult konkreetse runtime'iga, arvestamata eraldi pakette, millest runtime koosneb. Kõik puuduvad elemendid pakitakse otse koos rakendusega. Konteineri loomisel mountitakse runtime'i sisu nagu jaotis /usr, samas kui bundle mountitakse katalooge /app.

Runtime'i ja rakenduste konteinerite sisu vormitakse OSTree tehnoloogia abil, kus pilt värskendatakse atomaarsetena Git-taolise hoidla kaudu, mis võimaldab rakendada versiooni kontrollimise meetodeid distributsiooni komponentide osas (näiteks on võimalik kiiresti tagasi pöörata süsteem varasemasse olekusse). RPM-paketid edastatakse OSTree hoidlasse spetsiaalse kihina rpm-ostree abil. Eraldi pakettide paigaldamine ja värskendamine töökeskkonnas ei ole toetatud, süsteemi värskendatakse mitte eraldi komponentide tasandil, vaid tervikuna, muutes oma olekut atomaarsetena. Pakutakse vahendeid, et rakendada inkrementaalseid värskendusi, vabastades vajadusest iga värskenduse korral tervet pilti asendada.

Kujundatud isoleeritud keskkond on täiesti sõltumatu kasutatavast distributsioonist ja korralike paketihäälestustega ei ole tal juurdepääsu kasutaja või põhiskeemi failidele ja protsessidele, ei saa ta otse pöörduda riistvara poole, välja arvatud väljund DRI kaudu ja pöördumised võrgusüsteemi. Graafika väljund ja sisendi korraldamine on rakendatud läbi Waylandi protokolli või X11 soketi edastamise kaudu. Ühendus väliskeskkonnaga põhineb sõnumivahetussüsteemil DBus ja spetsiaalsel API Portals.

Isolatsiooniks kasutatakse Bubblewrap'i ja traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroups, nimede ruumide (namespaces), Seccomp'i ja SELinux'i kasutamisel. Hääle edastamiseks kasutatakse PulseAudio't. Samas võib isolatsiooni deaktiveerida, mida kasutavad paljude populaarsete pakettide arendajad, et saada täisjuurdepääs failisüsteemile ja kõikidele seadmetele süsteemis. Näiteks pakuvad GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ja VLC pakette, mille piiratud isolatsioonirežiim jätab täieliku juurdepääsu kodukataloogile. Kui kodukatalooge juurdepääsuga pakettidel esineb kompromiteerimine, piisab ründajal oma koodi täitmiseks faili ~\ .bashrc muutmisest, vaatamata sellele, et paketi kirjelduses on märge „sandboxed”. Eri küsimus on muudatuste jälgimise ja pakettide ehitajate usaldusväärsuse kontrollimine, kes sageli ei ole seotud põhiprojekti või jaotustega.

Allikas: opennet.ru