Michael Catanzaro, uno degli sviluppatori del browser web Epiphany (GNOME Web), coinvolto in progetti GNOME e Fedora, ha proposto di rivedere l'uso del catalogo FlatHub in Fedora Linux. Nella versione di Fedora Workstation con aggiornamenti atomici, è stata suggerita l'integrazione predefinita del catalogo FlatHub per i pacchetti flatpak installati dagli utenti, mentre il repository di pacchetti flatpak di proprietà verrà limitato all'uso per i pacchetti preinstallati.
Attualmente, Fedora utilizza per impostazione predefinita il proprio repository flatpak, il cui contenuto è generato attraverso la ricompilazione dei pacchetti rpm. Di default, il download dei pacchetti da FlatHub può essere abilitato solo dopo l'installazione, attivando l'opzione 'Enable Third-Party Repositories' nel gestore delle applicazioni GNOME; anche in questo caso, i pacchetti dal repository Fedora hanno una priorità maggiore.
Secondo Michael, la maggior parte degli utenti preferirebbe installare i pacchetti dal catalogo FlatHub, compilati dagli sviluppatori principali delle applicazioni, piuttosto che quelli forniti con Fedora (l'80% dei partecipanti alla discussione si è espresso a favore dell'uso di FlatHub). Si presume che gli sviluppatori delle applicazioni conoscano meglio le peculiarità dei loro progetti e compilino pacchetti flatpak che funzionano meglio e sono più testati dalla comunità. Nel frattempo, i pacchetti rpm forniti con Fedora non mostrano interesse nel mantenere le varianti di pacchetti in formato flatpak e non prestano sufficiente attenzione ai messaggi di errore relativi a tali pacchetti, il che porta a una qualità dei pacchetti flatpak di Fedora inferiore rispetto a quelli elencati in FlatHub dai progetti principali.
Molti utenti non sanno che installando un pacchetto flatpak tramite il gestore delle applicazioni Fedora, questo non viene installato da FlatHub, come in altre distribuzioni, ma dal repository di Fedora. I pacchetti in quest'ultimo differiscono da quelli di FlatHub. A causa di ciò, i problemi specifici dei pacchetti del repository di Fedora vengono percepiti come problemi nei pacchetti ufficiali di FlatHub, e le lamentele vengono indirizzate agli sviluppatori principali invece che ai manutentori di Fedora. Ad esempio, la fornitura di un pacchetto flatpak problematico di OBS Studio in Fedora, che era prioritario rispetto al pacchetto di FlatHub, ha portato a un conflitto con il progetto OBS Studio a febbraio.
Si osserva che il futuro di Fedora Workstation è visto come una distribuzione con aggiornamenti atomici, quindi non è consigliabile procrastinare il passaggio a FlatHub. L'uso di un proprio repository Flatpak è giustificato dalla necessità di costruire in un ambiente affidabile. Per i pacchetti in FlatHub, anche considerando solo i pacchetti verificati, per cui sono responsabili i progetti principali, la costruzione avviene in infrastrutture esterne, la cui sicurezza può destare preoccupazioni.
Tra i vantaggi di mantenere un proprio repository in Fedora, si segnalano le garanzie che il pacchetto è costruito a partire dal codice sorgente dichiarato e contiene solo componenti sotto licenze aperte approvate per l'uso in Fedora. I pacchetti nel repository di Fedora possono includere anche patch disponibili solo per i pacchetti RPM in Fedora e non ancora accettate nella base di codice principale dei progetti.
La proposta di Michael consiste nell'includere per impostazione predefinita nella versione atomica di Fedora Workstation il supporto per l'installazione di pacchetti da FlatHub, che rientrano nella categoria "software libero". La possibilità di installare da FlatHub riguarderà solo i pacchetti installati dagli utenti tramite il gestore di applicazioni GNOME Software. Tutti i pacchetti flatpak preinstallati continueranno a essere scaricati dal proprio repository di Fedora, ma per i pacchetti non di default si propone di utilizzare FlatHub come sorgente per il download.
Prima di passare a FlatHub, è consigliabile implementare insieme a FlatHub le capacità di assemblaggio dei pacchetti in un'infrastruttura affidabile e attivare i controlli basati su build riproducibili. Inoltre, occorre affrontare la questione dell'utilizzo di versioni obsolete di Flatpak Runtime nei pacchetti, per le quali non vengono più forniti aggiornamenti di sicurezza. Attualmente, 994 su 3438 (quasi un terzo) dei pacchetti controllati di FlatHub utilizzano Runtime obsoleti. I problemi di sicurezza sorgono anche a causa di dipendenze interne obsolete incluse nei pacchetti e di misure di isolamento sandbox insufficienti (gli sviluppatori di alcuni pacchetti disattivano le modalità di protezione).
Oltre a Michael, anche Timothée Ravier ha presentato una proposta simile: in Fedora 43 si prevede di continuare a fornire pacchetti flatpak preinstallati dal repository di Fedora, ma aggiungere un filtro che consenta l'installazione da FlatHub di alcune applicazioni verificate. Tra i vantaggi della soluzione proposta c'è la riduzione della confusione per gli utenti e gli sviluppatori dei progetti principali (gli sviluppatori devono affrontare messaggi di errore specifici per i pacchetti Flatpak di Fedora, inviati come se fossero presenti nel pacchetto flatpak ufficiale). Questa modifica ridurrà anche il carico sui manutentori, permettendo loro di concentrarsi sulla trasmissione delle correzioni ai progetti principali e sul collaudo dei pacchetti Flatpak preinstallati di default.
Fonte: opennet.ru
