Flatpak 1.16.0 sõltumatute pakettide süsteemi väljaanne

Pärast kahte ja poolt aastat arendust on avaldatud uus stabiilne Flatpak 1.16 tööriista haru, mis pakub süsteemi iseseisvate pakettide koostamiseks, mis ei ole seotud konkreetsete Linuxi distributsioonidega ja töötavad spetsiaalses konteineris, isolatsiooni kaudu rakenduse eraldamiseks ülejäänud süsteemist. Flatpak-pakkude töötamine on toetatud Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux ja Ubuntu jaoks. Flatkpakiga seotud paketid on lisatud Fedora pakihalduri ja neid toetatakse GNOME ja KDE vaikimisi rakendustega.

Flatpak 1.16 haru peamised uuendused:

• On toimunud üleminek Meson ehitussüsteemi kasutusele. Autotools tööriista läbiviimise toetus on lõpetatud. Flatpaki koostamiseks on nüüd vaja süsteemis olla Python, vähemalt versioon 3.5.
• On rakendatud gssproxy soketile juurdepääsu võimalus, mis võimaldab Kerberose kaudu autentimist rakendustes, mis käivituvad liivakasti isolatsiooni režiimis.
• Waylandi soketi loomisel on kasutusele võetud security-context laiendus, mille kaudu koostaja server võib tuvastada ja piirata rakendusi, mis töötavad liivakasti isolatsiooni režiimis. Lisatud on valik „—socket=inherit-wayland-socket” olemasoleva Waylandi soketi pärimiseks.
• Pärast rakenduste installimist või uuendamist tagab D-Bus seansibussi konfigureerimise automaatse taaskäivitamise, et võtta kasutusele uued rakenduste eksporditud D-Bus teenused.
• Distributsioonidele on antud võimalus määrata Flatpaki pakettide allikaid kaustas „/usr/share/flatpak/remotes.d”, lisaks „/etc/flatpak/remotes.d”.
• On viidud läbi suuremate lähtekoodiga failide jagamise töö väikesteks mooduliteks.
• On lisatud valik „—device=input” sisendseadmete juurdepääsuks läbi /dev/input.
• Rakenduste isolatsiooniks on kasutusele võetud uus bubblewrap 0.11 tööriistade haru. Distributsioonides, mis koostavad Flatpaki süsteemi bwrap executablest, peab olema vähemalt versioon bubblewrap 0.11. Rikkumise kaitsmine liivakasti keskkondadesse, kus luuakse pesasid (user namespace), on tugevdatud.
• Täpsemate keelte seadistamine on lihtsustatud. Keelte määramine põhineb DBus teenuse AccountsService toimetataval teabel kasutajate kohta.
• Rakendustele, mis kasutavad sisemist sandbox-eraldust, näiteks WebKiti põhjal, on AT-SPI protokolli kasutamine ekraanilugejatega suhtlemiseks lubatud. Lisatud on valik „flatpak run —a11y-own-name”, et valida buss, mille kaudu pääseb juurde ligipääsetavuse vahenditele.
• Käivitades käsu „flatpak run -vv ”, kuvatakse kõik kehtivad sandbox-eraldusparameetrid.
• Lisatud on valik „—device=usb”, samuti „—usb” ja „—no-usb” parameetrid rakenduse juurdepääsu juhtimiseks USB-seadmetele.
• Lisatud on KCompletion raamistiku tugi, mida kasutatakse otsinguvõtmete automaatseks täiendamiseks KDE-s.
• Lisatud on keskkonnamuutujad „FLATPAK_DATA_DIR” ja „FLATPAK_DOWNLOAD_TMPDIR”, et määrata ümber andmekataloogid ( /usr/share/flatpak ) ja allalaaditavad ajutised failid ( /var/tmp ).
• Lisa escape-järjestuste väljund operatsioonide edenemise kuvamiseks terminaliemulaatorites.

Kohustuslik meeldetuletus: Flatpak lihtsustab programmide levitamist, mis ei kuulu jaotiste tavarepositsioonidesse, valmistades ette ühe universaalse konteineri, vabastades arendajad vajadusest koostada eraldi kogumid iga jaotuse jaoks. Turvalisuse nimel hoolivatele kasutajatele annab Flatpak võimaluse käitada kahtlase rakenduse konteineris, pakkudes valikuliselt juurdepääsu ainult vajalikele võrgufunktsioonidele ja kasutaja failidele. Uute asjade huvi tundvatele kasutajatele võimaldab Flatpak installida kõige uuemaid katse- ja stabiilseid rakenduste väljaandeid ilma süsteemi muutmata. Näiteks koostatakse Flatpak-paketid LibreOffice, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Telegram Desktop, Android Studio jne jaoks.

Paki suuruse vähendamiseks sisaldab see ainult rakenduse spetsiifilisi sõltuvusi. Baassüsteemi ja graafikakogud (GTK, Qt, GNOME ja KDE raamatukogud jne) tarnitakse plugina kujul standardsete runtime-keskkondadena. Flatpaki peamine erinevus Snapist seisneb selles, et Snap kasutab põhissüsteemi keskkonna komponente ja süsteemikutsungite filtreerimise põhjal isoleerimist, samas kui Flatpak loob süsteemist eraldi konteineri ja töötleb suuremaid runtime-komplekte, pakkudes sõltuvustena mitte pakette, vaid standardseid süsteemi keskkondi (nt kõik raamatukogud, mis on vajalikud GNOME või KDE programmide töötamiseks).

Lisaks standardsele süsteemi keskkonnale (runtime), mis installitakse spetsiaalse reposiitri kaudu, tarnitakse ka rakenduse tööks vajalikud täiendavad sõltuvused (bundle). Koos moodustavad "runtime" ja "bundle" konteineri sisu, kuid samas installitakse "runtime" eraldi ja seotakse korraga mitme konteineriga, mis võimaldab vältida süsteemifailide dubleerimist, mis on ühised konteineritele.

Ühes süsteemis võib olla installitud mitu erinevat „runtime” (GNOME, KDE) või mitu versiooni ühest „runtime” (GNOME 46, GNOME 47). Rakenduse konteiner sõltuvus kasutab sidet ainult kindla „runtime”'iga, mitte ei arvesta valitud „runtime”'i koosseisus olevaid eraldi pakette. Kõik puuduvad elemendid pakitakse otse rakendusega. Konteinerit luues monteeritakse „runtime” sisu kui osa /usr-st ja „bundle” monteeritakse katalooge /app.

«Runtime» ja rakenduste konteinerite sisu luuakse OSTree tehnoloogia abil, kus pilt värskendatakse atomaarsetest Git-sarnastest hoidlatest, võimaldades rakendada versioonihaldusmeetodeid distributsi komponentide suhtes (näiteks saab kiiresti taastada süsteemi eelmisse olekusse). RPM-pakette kantakse OSTree hoidlasse läbi rpm-ostree liidese.

Valikuline pakettide installimine ja värskendamine töökeskkonnas ei ole toetatud — süsteemi värskendatakse mitte eraldi komponentide tasemel, vaid täielikult, atomaarsete muudatustega. Pakutakse vahendeid uuenduste inkrementaalse rakendamise jaoks, vältides vajadust iga uuenduse korral täieliku pildi asendamise järele.

Isoleeritud keskkond on täielikult sõltumatu kasutatavast distributsioonist ning korralike paketi seadistuste korral ei ole sellele ligipääsu kasutaja või põhikorras oleva süsteemi failidele ja protsessidele, samuti ei saa see otse varustusele ligi, välja arvatud väljund DRI kaudu. Graafika väljund ja sisendi organiseerimine on realiseeritud Waylandi protokolli või X11 soketipassi kaudu. Suhtlemine välismaailmaga toimub DBus suhtlemissüsteemi ja spetsiaalse Portals API kaudu.

Isolatsiooni tagamiseks kasutatakse Bubblewrapi vahet, samuti traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid nagu cgroups, nimede ruume (namespaces), Seccomp ja SELinux. Helide väljundiks kasutatakse PulseAudio või PipeWire'd. Paketi loomise korral võib isolatsiooni välja lülitada, mida paljud populaarsed paketiarendajad kasutavad täieliku juurdepääsu saamiseks failisüsteemile ja kõikidele seadmetele süsteemis.

Näiteks GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ja VLC pakette tarnitakse piiratud isolatsioonirežiimis, mis jätab täieliku ligipääsu kodukataloogile. Kui pakettides, mis pääsevad kodukataloogile, toimub kompromiteerimine, piisab ründajast, et muuta fail ~/.bashrc, hoolimata paketi kirjel olevast sildist „sandboxed“. Eraldi küsimus on pakettide muudatuste jälgimine ja usaldus pakettide koostajate suhtes, kes tihti ei ole seotud peamise projekti või distributsioonidega.

Allikas: opennet.ru