फ़्लैटपैक 1.12.0 स्व-निहित पैकेज प्रणाली का विमोचन

फ़्लैटपैक 1.12 टूलकिट की एक नई स्थिर शाखा प्रकाशित की गई है, जो स्व-निहित पैकेज बनाने के लिए एक प्रणाली प्रदान करती है जो विशिष्ट लिनक्स वितरण से बंधी नहीं होती है और एक विशेष कंटेनर में चलती है जो एप्लिकेशन को बाकी सिस्टम से अलग करती है। आर्क लिनक्स, सेंटओएस, डेबियन, फेडोरा, जेंटू, मैजिया, लिनक्स मिंट, ऑल्ट लिनक्स और उबंटू के लिए फ्लैटपैक पैकेज चलाने के लिए समर्थन प्रदान किया गया है। फ़्लैटपैक पैकेज फेडोरा रिपॉजिटरी में शामिल हैं और मूल गनोम एप्लिकेशन मैनेजर द्वारा समर्थित हैं।

फ़्लैटपैक 1.12 शाखा में प्रमुख नवाचार:

• स्टीम गेम डिलीवरी सेवा के लिए क्लाइंट के साथ फ्लैटपैक पैकेज में उपयोग किए गए नेस्टेड सैंडबॉक्स वातावरण का बेहतर प्रबंधन। नेस्टेड सैंडबॉक्स में, /usr और /app निर्देशिकाओं के अलग-अलग पदानुक्रमों के निर्माण की अनुमति है, जिसका उपयोग स्टीम में अपने स्वयं के /usr विभाजन के साथ एक अलग कंटेनर में गेम लॉन्च करने के लिए किया जाता है, जो स्टीम क्लाइंट के साथ पर्यावरण से अलग होता है।
• समान एप्लिकेशन पहचानकर्ता (ऐप-आईडी) वाले सभी पैकेज इंस्टेंसेस /tmp और $XDG_RUNTIME_DIR निर्देशिका साझा करते हैं। वैकल्पिक रूप से, "--allow=per-app-dev-shm" ध्वज का उपयोग करके, आप /dev/shm साझा निर्देशिका के उपयोग को सक्षम कर सकते हैं।
• जीडीबी जैसे टेक्स्ट यूजर इंटरफेस (टीयूआई) अनुप्रयोगों के लिए बेहतर समर्थन।
• बिल्ड-अपडेट-रेपो उपयोगिता में "ओस्ट्री प्रून" कमांड का तेज़ कार्यान्वयन जोड़ा गया है, जो संग्रह मोड में रिपॉजिटरी के साथ काम करने के लिए अनुकूलित है।
• पोर्टल तंत्र के कार्यान्वयन में भेद्यता CVE-2021-41133, जो कि seccomp नियमों में बढ़ते विभाजन से संबंधित नए सिस्टम कॉल को अवरुद्ध करने की कमी से जुड़ी है, को ठीक कर दिया गया है। भेद्यता ने एप्लिकेशन को "पोर्टल" सत्यापन तंत्र को बायपास करने के लिए एक नेस्टेड सैंडबॉक्स बनाने की अनुमति दी, जिसका उपयोग कंटेनर के बाहर संसाधनों तक पहुंच को व्यवस्थित करने के लिए किया जाता है।

  परिणामस्वरूप, एक हमलावर, माउंटिंग-संबंधित सिस्टम कॉल करके, सैंडबॉक्स अलगाव तंत्र को बायपास कर सकता है और होस्ट वातावरण की सामग्री तक पूर्ण पहुंच प्राप्त कर सकता है। भेद्यता का फायदा केवल उन पैकेजों में उठाया जा सकता है जो अनुप्रयोगों को AF_UNIX सॉकेट तक सीधी पहुंच प्रदान करते हैं, जैसे कि वेलैंड, पाइपवायर और पाइपवायर-पल्स द्वारा उपयोग किए जाने वाले। रिलीज़ 1.12.0 में, भेद्यता को पूरी तरह से समाप्त नहीं किया गया था, इसलिए अपडेट 1.12.1 को तुरंत जारी किया गया था।

हम आपको याद दिला दें कि फ़्लैटपैक एप्लिकेशन डेवलपर्स को प्रत्येक वितरण के लिए अलग-अलग असेंबली बनाए बिना एक सार्वभौमिक कंटेनर तैयार करके अपने प्रोग्रामों के वितरण को सरल बनाने की अनुमति देता है जो मानक वितरण रिपॉजिटरी में शामिल नहीं हैं। सुरक्षा के प्रति जागरूक उपयोगकर्ताओं के लिए, फ़्लैटपैक आपको एक कंटेनर में एक संदिग्ध एप्लिकेशन चलाने की अनुमति देता है, जो केवल नेटवर्क फ़ंक्शंस और एप्लिकेशन से जुड़े उपयोगकर्ता फ़ाइलों तक पहुंच प्रदान करता है। नए उत्पादों में रुचि रखने वाले उपयोगकर्ताओं के लिए, फ़्लैटपैक आपको सिस्टम में बदलाव करने की आवश्यकता के बिना नवीनतम परीक्षण और अनुप्रयोगों के स्थिर रिलीज़ स्थापित करने की अनुमति देता है। उदाहरण के लिए, फ्लैटपैक पैकेज लिब्रे ऑफिस, मिडोरी, जीआईएमपी, इंकस्केप, केडेनलाइव, स्टीम, 0 एडी, विजुअल स्टूडियो कोड, वीएलसी, स्लैक, स्काइप, टेलीग्राम डेस्कटॉप, एंड्रॉइड स्टूडियो आदि के लिए बनाए गए हैं।

पैकेज के आकार को कम करने के लिए, इसमें केवल एप्लिकेशन-विशिष्ट निर्भरताएं शामिल हैं, और बुनियादी सिस्टम और ग्राफिक्स लाइब्रेरी (जीटीके, क्यूटी, गनोम और केडीई लाइब्रेरी, आदि) को प्लग-इन मानक रनटाइम वातावरण के रूप में डिज़ाइन किया गया है। फ़्लैटपैक और स्नैप के बीच मुख्य अंतर यह है कि स्नैप सिस्टम कॉल को फ़िल्टर करने के आधार पर मुख्य सिस्टम वातावरण और अलगाव के घटकों का उपयोग करता है, जबकि फ़्लैटपैक सिस्टम से अलग एक कंटेनर बनाता है और बड़े रनटाइम सेट के साथ काम करता है, निर्भरता के रूप में पैकेज नहीं, बल्कि मानक प्रदान करता है। एक सिस्टम वातावरण (उदाहरण के लिए, GNOME या KDE प्रोग्राम के संचालन के लिए आवश्यक सभी लाइब्रेरी)।

एक विशेष रिपॉजिटरी के माध्यम से स्थापित मानक सिस्टम वातावरण (रनटाइम) के अलावा, एप्लिकेशन के संचालन के लिए आवश्यक अतिरिक्त निर्भरताएं (बंडल) की आपूर्ति की जाती है। कुल मिलाकर, रनटाइम और बंडल कंटेनर की फिलिंग बनाते हैं, इस तथ्य के बावजूद कि रनटाइम अलग से स्थापित किया गया है और एक साथ कई कंटेनरों से जुड़ा हुआ है, जो आपको कंटेनरों के लिए सामान्य सिस्टम फ़ाइलों को डुप्लिकेट करने से बचने की अनुमति देता है। एक सिस्टम में कई अलग-अलग रनटाइम स्थापित हो सकते हैं (GNOME, KDE) या एक ही रनटाइम के कई संस्करण (GNOME 3.40, GNOME 3.42)। निर्भरता के रूप में एप्लिकेशन वाला एक कंटेनर केवल एक विशिष्ट रनटाइम के लिए बाइंडिंग का उपयोग करता है, रनटाइम बनाने वाले व्यक्तिगत पैकेजों को ध्यान में रखे बिना। सभी गायब तत्व सीधे एप्लिकेशन के साथ पैक किए जाते हैं। जब एक कंटेनर बनता है, तो रनटाइम सामग्री को /usr विभाजन के रूप में माउंट किया जाता है, और बंडल को /app निर्देशिका में माउंट किया जाता है।

रनटाइम और एप्लिकेशन कंटेनर OSTree तकनीक का उपयोग करके बनाए गए हैं, जिसमें छवि को Git-जैसी रिपॉजिटरी से परमाणु रूप से अपडेट किया जाता है, जो संस्करण नियंत्रण विधियों को वितरण घटकों पर लागू करने की अनुमति देता है (उदाहरण के लिए, आप सिस्टम को जल्दी से वापस रोल कर सकते हैं) पिछली स्थिति)। RPM पैकेज को एक विशेष rpm-ostree परत का उपयोग करके OSTree रिपॉजिटरी में अनुवादित किया जाता है। कार्य परिवेश के भीतर पैकेजों की अलग स्थापना और अद्यतन समर्थित नहीं है; सिस्टम को व्यक्तिगत घटकों के स्तर पर अद्यतन नहीं किया जाता है, बल्कि समग्र रूप से, परमाणु रूप से इसकी स्थिति को बदलते हुए अद्यतन किया जाता है। प्रत्येक अद्यतन के साथ छवि को पूरी तरह से बदलने की आवश्यकता को समाप्त करते हुए, अद्यतनों को क्रमिक रूप से लागू करने के लिए उपकरण प्रदान करता है।

उत्पन्न पृथक वातावरण उपयोग किए गए वितरण से पूरी तरह से स्वतंत्र है और, उचित पैकेज सेटिंग्स के साथ, उपयोगकर्ता या मुख्य सिस्टम की फ़ाइलों और प्रक्रियाओं तक पहुंच नहीं है, और डीआरआई और कॉल के माध्यम से आउटपुट के अपवाद के साथ, सीधे उपकरण तक नहीं पहुंच सकता है। नेटवर्क सबसिस्टम के लिए. ग्राफ़िक्स आउटपुट और इनपुट संगठन को वेलैंड प्रोटोकॉल का उपयोग करके या X11 सॉकेट फ़ॉरवर्डिंग के माध्यम से कार्यान्वित किया जाता है। बाहरी वातावरण के साथ इंटरेक्शन डीबीस मैसेजिंग सिस्टम और एक विशेष पोर्टल एपीआई पर आधारित है।

अलगाव के लिए, बबलवैप परत और पारंपरिक लिनक्स कंटेनर वर्चुअलाइजेशन तकनीकों का उपयोग किया जाता है, जो कि सीग्रुप्स, नेमस्पेस, सेकॉम्प और सेलिनक्स के उपयोग पर आधारित है। पल्सऑडियो का उपयोग ध्वनि आउटपुट के लिए किया जाता है। इस मामले में, अलगाव को अक्षम किया जा सकता है, जिसका उपयोग कई लोकप्रिय पैकेजों के डेवलपर्स द्वारा फ़ाइल सिस्टम और सिस्टम के सभी उपकरणों तक पूर्ण पहुंच प्राप्त करने के लिए किया जाता है। उदाहरण के लिए, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity, और VLC एक सीमित आइसोलेशन मोड के साथ आते हैं जो होम डायरेक्टरी तक पूरी पहुंच छोड़ देता है।

यदि होम निर्देशिका तक पहुंच वाले पैकेजों से छेड़छाड़ की जाती है, तो पैकेज विवरण में "सैंडबॉक्स्ड" लेबल की उपस्थिति के बावजूद, हमलावर को अपने कोड को निष्पादित करने के लिए केवल ~/.bashrc फ़ाइल को बदलने की आवश्यकता होती है। एक अलग मुद्दा पैकेजों में परिवर्तनों का नियंत्रण और पैकेज बिल्डरों पर भरोसा है, जो अक्सर मुख्य परियोजना या वितरण से जुड़े नहीं होते हैं।

स्रोत: opennet.ru