Flatpak 1.16.0 iseseisvate paketiga süsteemi väljalase.

Kaks ja pool aastat kestnud arendustööd on tulemuseks Flatpak 1.16 uue stabiilse versiooni väljaandmine, mis pakub süsteemi iseseisvate pakettide koostamiseks, mis ei ole seotud konkreetsete Linuxi distributsioonidega ja mida käitatakse spetsiaalses konteineris, mis eraldab rakenduse ülejäänud süsteemist. Flatpak paketid saavad toetust Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux ja Ubuntu jaoks. Flatkpak paketid on lisatud Fedora reposse ja neid toetavad GNOME ja KDE vaikimisi rakenduste haldusprogrammid.

Flatpak 1.16 põhifunktsioonid:

• On toimunud üleminek Meson koostamissüsteemi kasutamisele. Autotools tööriistadega koostamise tugi on lõpetatud. Flatkpak koostamiseks on nüüd vajalik Python, vähemalt versioon 3.5.
• On rakendatud gssproxy sokli jagamine, mis võimaldab Kerberose kaudu autentimist rakendustes, mis käivituvad liivakasti isolatsioonirežiimis.
• Waylandi sokli loomisel on kasutatud security-context laiendust, mille kaudu server suudab tuvastada ja piirata rakendusi, mis töötavad sandboxes-isolatsioonis. Lisatud on võimalus «—socket=inherit-wayland-socket», et pärida olemasolevat soketit Waylandi jaoks.
• Rakenduste installimise või uuendamise järel tagatakse automaatne D-Busi seanssibusu konfiguratsiooni taaskäivitamine, et haarata uusi D-Busi teenuseid, mida rakendused ekspordivad.
• Jaotustarkvaradele on antud võimalus määrata Flatpaki pakettide hoidlaid, kasutades katalooge «/usr/share/flatpak/remotes.d», lisaks «/etc/flatpak/remotes.d».
• Tööd on tehtud suuremate lähtekoodifailide jagamiseks väikesteks mooduliteks.
• Lisatud on valik «—device=input», et saada juurdepääs sisendseadmetele läbi /dev/input.
• Rakenduste isoleerimiseks on kasutusele võetud uus bubblewrapi tööriistakomplekti versioon 0.11. Jaotustarkvarades, mis koguvad Flatpaki, kasutades süsteemset bwrapi executables, peab olema vähemalt bubblewrapi versioon 0.11. Parandatud on kaitset kasutaja identifikaatorite (user namespace) pesade loomise vastu sandbox-ide keskkondades.
• Täpsem keeletoetuse seadistamine. Keeled määratakse kasutaja teabe põhjal, mille annab DBus-i teenus AccountsService.
• Rakendustele, mis kasutavad sisemist sandbox-isolatsiooni, näiteks WebKit'i mootorit, on lubatud AT-SPI protokolli kasutamine ekraanilugejatega suhtlemiseks. Loodud on valik „flatpak run —a11y-own-name”, et valida bussi, mille kaudu pääseb juurde ligipääsusüsteemidele.
• Käskluse „flatpak run -vv ” täitmisel näidatakse kõiki rakendatavaid sandbox-isolatsiooni seadeid.
• Lisatud valik „—device=usb” ning parameetrid „—usb” ja „—no-usb” rakenduse ligipääsu haldamiseks USB-seadmetele.
• Toetatud on KCompletion raamistik, mida kasutatakse otsinguvõtmete automaatselt täiendamiseks KDE-s.
• Lisatud keskkonnamuutujad „FLATPAK_DATA_DIR” ja „FLATPAK_DOWNLOAD_TMPDIR” andmete kataloogide (/usr/share/flatpak) ja ajutiste allalaadimisfailide (/var/tmp) ülekirjutamiseks.
• Escape-järjestuste väljund on lisatud, et kuvada operatsioonide edenemist terminali emulaatorites.

Meeldetuletuseks olgu öeldud, et Flatpak lihtsustab programmide levitamist, mis ei kuulu distributsioonide vaikerepositooriumitesse, ühe universaalse konteineri ettevalmistamise kaudu, vabastades arendajad vajadusest luua eraldi kogusid iga distributsiooni jaoks. Kasutajatele, kes hoolivad turvalisusest, pakub Flatpak võimalust käivitada kahtlaseid rakendusi konteineris, andes neile valikulise juurdepääsu vaid vajalikule võrgufunktsioonile ja kasutaja failidele. Neile, kes on huvitatud uuendustest, võimaldab Flatpak installida kõige värskemaid beetaversioone ja stabiilseid rakendusi ilma süsteemis muudatusi tegemata. Näiteks kogutakse Flatpak pakette LibreOffice'i, GIMP-i, Inkscape'i, Kdenlive'i, Steami, 0 A.D., Visual Studio Code'i, VLC, Slacki, Telegram Desktopi, Android Studio jne jaoks.

Rakenduse sõltuvused lisatakse paketti ainult siis, kui need on konkreetse suuruse vähendamise jaoks vajalikud. Põhisüsteemi ja graafikakogud (GTK, Qt, GNOME ja KDE raamatukogud jne) tarnitakse komponentidena tüüpiliste runtime-keskkondade kujul. Peamine erinevus Flatpaki ja Snap-i vahel on see, et Snap kasutab põhite süsteemi keskkonna komponente ja isoleerimist, mis põhineb süsteemikõnede filtreerimisel, samas kui Flatpak loob süsteemist eraldi konteineri ja töötleb suuri runtime-komplekte, pakkudes sõltuvustena mitte pakette, vaid tüüpilisi süsteemi keskkondi (näiteks kõiki teeke, mis on vajalikud GNOME või KDE rakenduste tööks).

Lisaks tüüpilisele süsteemi keskkonnale (runtime), mis installitakse spetsiaalsest hoidlast, tarnitakse ka täiendavaid sõltuvusi (bundle), mis on rakenduse tööks vajalikud. Kokku luuakse «runtime» ja «bundle» konteineri sisu, kusjuures «runtime» installitakse eraldi ja seotakse kohe mitme konteineriga, mis võimaldab vältida ühiste süsteemifailide dubleerimist konteinerite vahel.

Ühes süsteemis võib olla installitud mitu erinevat "runtime" (GNOME, KDE) või mitu versiooni ühest "runtime" (GNOME 46, GNOME 47). Rakenduse konteiner, millel on sõltuvus, kasutab sidet ainult teatud "runtime"'iga, arvestamata valitud "runtime"'i moodustavaid eraldi pakette. Kõik puuduvad elemendid pakendatakse otse koos rakendusega. Konteineri loomisel monteeritakse "runtime" sisu katalooge nagu /usr, samas kui "bundle" montatsioon toimub kaustas /app.

„Runtime'i“ ja rakenduskonteinerite sisu moodustatakse OSTree tehnoloogia abil, kus pilt uuendatakse atomaarseten Giti-sarnaste hoidlate kaudu, võimaldades rakendada versioonikontrolli meetodeid distributsiooni komponentidele (nt saan kiiresti tagasi kerida süsteemi varasemasse olekusse). RPM-paketid tõlgitakse OSTree hoidlast läbi rpm-ostree vahekihiga.

Pakettide valikuline install ja värskendamine töökeskkonnas ei ole toetatud — süsteem uuendatakse mitte eraldi komponente, vaid tervikuna, muutes oma seisundi aatomaarsetena. Pakendatakse tööriistad inkrementaalseks värskendamiseks, vabastades vajadusest igasuguste piltide täieliku asendamise kohta iga värskenduse puhul.

Moodustatud isoleeritud keskkond on täielikult sõltumatu kasutatavast distributiivist ning korralike paketti seadistuste korral ei pääse ta ligi kasutaja või põhisisüsteemi failidele ja protsessidele ning ei saa ka otse seadmetele pöörduda, välja arvatud DRI kaudu väljundi osas. Graafika väljund ja sisendi korraldamine on teostatud Waylandi protokolli abil või X11 sokli edastamise kaudu. Suhtlemine välismaailmaga toimub DBusi sõnumite vahetussüsteemi ja spetsiaalse Portali API kaudu.

Isolatsiooniks kasutatakse Bubblewrap'i vahekihti ja traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroups'i, nimede ruumide (namespaces), Seccomp'i ja SELinuxi kasutamisel. Helide väljastamiseks kasutatakse PulseAudio't või PipeWire'i. Paketi loomisel võib isolatsiooni välja lülitada, millega kasutavad ära paljude populaarsete pakettide arendajad, et saada täielik juurdepääs failisüsteemile ja kõigile seadmetele süsteemis.

Näiteks on piiratud isolatsioonirežiimiga, mis võimaldab täielikku juurdepääsu kodukataloogile, varustatud paketid GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ja VLC. Kui pakette, millel on juurdepääs kodukataloogile, kompromiteeritakse, siis piisab ründajal oma koodi käivitamiseks faili ~/.bashrc muutmisest, hoolimata sellest, et paketikirjelduses on märge „sandboxed“. Eraldi küsimus on pakettide muutmise kontroll ja usaldus pakettide koostajate suhtes, kes sageli ei ole seotud põhiprojekti või -distributsioonidega.

Allikas: opennet.ru