Michael Catanzaro, uno degli sviluppatori del browser web Epiphany (GNOME Web), coinvolto nei progetti GNOME e Fedora, ha proposto di rivedere l'uso del catalogo FlatHub in Fedora Linux. Nella versione di Fedora Workstation con aggiornamenti atomici, è stato suggerito di abilitare per impostazione predefinita il catalogo FlatHub per i pacchetti flatpak installati dagli utenti, mentre il proprio repository di pacchetti flatpak sarebbe limitato solo all'uso per pacchetti preinstallati.
Attualmente, per impostazione predefinita, Fedora offre il proprio repository flatpak, il cui contenuto è generato sulla base della ricompilazione dei pacchetti rpm. Per abilitare il download di pacchetti da FlatHub, è possibile farlo solo dopo l'installazione, attivando nell'app GNOME l'opzione "Abilita repository di terze parti", ma anche in questo caso i pacchetti del repository Fedora hanno una priorità maggiore.
Secondo Michael, la maggior parte degli utenti preferirebbe l'installazione di pacchetti dal catalogo FlatHub, raccolti dagli sviluppatori principali delle applicazioni, piuttosto che da chi supporta Fedora (l'80% dei partecipanti alla discussione si è espresso a favore dell'uso di FlatHub). Si presume che gli sviluppatori delle applicazioni conoscano meglio le peculiarità dei loro progetti e assemblino pacchetti flatpak che funzionano meglio, testati più accuratamente dalla comunità. Inoltre, i pacchetti rpm che supportano Fedora non mostrano interesse a mantenere le varianti dei pacchetti in formato flatpak e non prestano adeguata attenzione ai rapporti di errore in tali pacchetti, il che porta a una qualità dei pacchetti flatpak di Fedora inferiore a quella dei pacchetti pubblicati su FlatHub dai progetti principali.
Molti utenti non sono a conoscenza del fatto che installando un pacchetto flatpak tramite il gestore delle applicazioni di Fedora, esso non viene installato da FlatHub, come avviene in altre distribuzioni, ma dal repository Fedora, i cui pacchetti differiscono dalle varianti di FlatHub. Di conseguenza, i problemi specifici per i pacchetti del repository Fedora vengono percepiti come problemi nei pacchetti ufficiali di FlatHub, e le lamentele vengono indirizzate agli sviluppatori principali anziché a chi supporta Fedora. Ad esempio, la fornitura del problematico pacchetto flatpak OBS Studio in Fedora, che aveva una priorità maggiore rispetto al pacchetto di FlatHub, ha portato a un conflitto con il progetto OBS Studio a febbraio.
Si osserva che il futuro di Fedora Workstation si vede come una distribuzione aggiornabile in modo atomico, quindi è meglio non ritardare la transizione a FlatHub. L'uso di un repository Flatpak proprietario è motivato dalla necessità di costruire in un ambiente affidabile. Per i pacchetti su FlatHub, anche considerando solo i pacchetti verificati, la costruzione avviene in infrastrutture esterne, la cui sicurezza può sollevare dubbi.
Tra i vantaggi di mantenere un proprio repository in Fedora ci sono le garanzie che il pacchetto sia costruito dal codice sorgente dichiarato e contenga solo componenti con licenze aperte approvate per l'uso da Fedora. I pacchetti nel repository di Fedora possono anche includere patch disponibili solo per i pacchetti RPM in Fedora e che non sono ancora state accettate nella base di codice principale dei progetti.
La proposta di Michael consiste nell'includere per impostazione predefinita nella versione atomica di Fedora Workstation il supporto per l'installazione di pacchetti da FlatHub, che sono in una categoria di "software libero". La possibilità di installare da FlatHub riguarderà solo i pacchetti installati dagli utenti tramite il gestore di applicazioni GNOME Software. Tutti i pacchetti flatpak preinstallati continueranno a essere scaricati dal proprio repository di Fedora, ma per i pacchetti non utilizzati per impostazione predefinita si propone di utilizzare FlatHub come fonte per il download.
Prima di passare a FlatHub, si propone di implementare congiuntamente in FlatHub possibilità per la costruzione di pacchetti in un'infrastruttura affidabile e di attivare controlli basati su build riproducibili. Inoltre, è necessario affrontare la questione dell'uso nelle build di versioni obsolete di Flatpak Runtime, per le quali non sono già stati trasferiti aggiornamenti sulle vulnerabilità. Attualmente, 994 su 3438 (quasi un terzo) dei pacchetti verificati di FlatHub utilizzano Runtime obsoleti. I problemi di sicurezza sorgono anche a causa di dipendenze interne obsolete incluse nei pacchetti e dall'uso di misure insufficienti di isolamento sandbox (gli sviluppatori di alcuni pacchetti disabilitano le modalità di protezione).
Oltre a Michael, anche Timothée Ravier ha presentato una proposta simile: in Fedora 43 si propone di continuare a fornire pacchetti flatpak preinstallati dal repository Fedora, ma di aggiungere un filtro che consenta l'installazione di applicazioni selezionate e verificate da FlatHub. I vantaggi della soluzione proposta includono la riduzione della confusione per gli utenti e gli sviluppatori dei progetti principali (gli sviluppatori devono interpretare messaggi di errore specifici per i pacchetti Flatpak di Fedora, inviati come se fossero contenuti nel pacchetto flatpak ufficiale). La modifica ridurrà anche il carico sui manutentori, permettendo loro di concentrarsi sulla trasmissione delle correzioni ai progetti principali e sul test dei pacchetti Flatpak preinstallati di default.
Fonte: opennet.ru
