\u00c8 stata pubblicata una nuova versione stabile del toolkit Flatpak 1.12, che fornisce un sistema per la creazione di pacchetti autonomi, non legati a specifiche distribuzioni Linux e eseguiti in un contenitore speciale che isola l'applicazione dal resto del sistema. Il supporto per l'esecuzione dei pacchetti Flatpak \u00e8 garantito per Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux e Ubuntu. I pacchetti Flatpak sono inclusi nel repository di Fedora e supportati nell'applicazione di gestione software GNOME. <\/p>\n
Novit\u00e0 principali nella versione Flatpak 1.12: <\/p>\n
Di conseguenza, un attaccante tramite l'esecuzione di chiamate di sistema associate al montaggio poteva aggirare il meccanismo di isolamento sandbox e ottenere accesso completo al contenuto dell'ambiente host. L'exploitation di questa vulnerabilit\u00e0 \u00e8 possibile solo in pacchetti che forniscono alle applicazioni accesso diretto a socket AF_UNIX, utilizzati, ad esempio, in Wayland, Pipewire e pipewire-pulse. Nella versione 1.12.0 la vulnerabilit\u00e0 non \u00e8 stata completamente risolta, quindi \u00e8 stato rilasciato un aggiornamento 1.12.1 a seguito di ci\u00f2. <\/ul>\n
Ricordiamo che Flatpak offre agli sviluppatori di applicazioni la possibilit\u00e0 di semplificare la distribuzione dei propri programmi, che non sono inclusi nei repository ufficiali delle distribuzioni, preparando un unico contenitore universale senza la necessit\u00e0 di creare versioni separate per ciascuna distribuzione. Per gli utenti preoccupati per la sicurezza, Flatpak consente di eseguire applicazioni sospette in un contenitore, fornendo accesso solo alle funzioni di rete e ai file dell'utente correlati all'applicazione. Gli utenti interessati alle novit\u00e0 possono installare le versioni pi\u00f9 recenti di applicazioni in fase di test e stabili senza dover apportare modifiche al sistema. Ad esempio, i pacchetti Flatpak sono disponibili per LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, e molti altri. <\/p>\n
Per ridurre la dimensione del pacchetto, include solo le dipendenze specifiche per l'applicazione, mentre le librerie di sistema e grafiche di base (GTK, Qt, librerie GNOME e KDE, ecc.) sono fornite come runtime di base modulari. La principale differenza tra Flatpak e Snap \u00e8 che Snap utilizza i componenti dell'ambiente del sistema principale e l'isolamento basato sulla filtrazione delle chiamate di sistema, mentre Flatpak crea un contenitore separato dal sistema e opera con ampie collezioni di runtime, fornendo come dipendenze non pacchetti, ma ambienti di sistema modulari (ad esempio, tutte le librerie necessarie per il funzionamento dei programmi GNOME o KDE). <\/p>\n
Oltre all'ambiente di sistema standard (runtime), installato tramite un repository dedicato, vengono fornite dipendenze aggiuntive (bundle) necessarie per il funzionamento dell'applicazione. Insieme, runtime e bundle costituiscono il contenuto del contenitore, poich\u00e9 il runtime \u00e8 installato separatamente e pu\u00f2 essere legato a pi\u00f9 contenitori, evitando cos\u00ec la duplicazione dei file di sistema comuni. In un sistema possono essere installati diversi runtime (GNOME, KDE) o pi\u00f9 versioni dello stesso runtime (GNOME 3.40, GNOME 3.42). Un contenitore con un'applicazione come dipendenza utilizza il legame solo a un determinato runtime, senza considerare i pacchetti separati di cui \u00e8 composto il runtime. Tutti gli elementi mancanti vengono confezionati direttamente insieme all'applicazione. Durante la creazione del contenitore, il contenuto del runtime \u00e8 montato come la partizione \/usr, mentre il bundle \u00e8 montato nella directory \/app. <\/p>\n
La configurazione del runtime e dei contenitori delle applicazioni avviene tramite la tecnologia OSTree, che consente di aggiornare l'immagine in modo atomico da un repository simile a Git, permettendo l'applicazione di metodi di controllo versione ai componenti della distribuzione (ad esempio, \u00e8 possibile ripristinare rapidamente il sistema a uno stato precedente). I pacchetti RPM vengono trasmessi al repository OSTree tramite un'apposita interfaccia chiamata rpm-ostree. L'installazione e l'aggiornamento dei pacchetti all'interno dell'ambiente di lavoro non sono supportati; il sistema viene aggiornato non a livello di singoli componenti, ma in modo completo, cambiando il proprio stato in modo atomico. Sono forniti strumenti per l'applicazione incrementale degli aggiornamenti, evitando la necessit\u00e0 di una sostituzione totale dell'immagine ad ogni aggiornamento. <\/p>\n
L'ambiente isolato viene creato in modo completamente indipendente dal sistema operativo utilizzato e, con le impostazioni di pacchetto appropriate, non ha accesso ai file e ai processi dell'utente o del sistema principale; non pu\u00f2 accedere direttamente all'hardware, tranne per l'output tramite DRI e le chiamate al sottosistema di rete. L'output grafico e l'organizzazione dell'input sono implementati tramite il protocollo Wayland o attraverso il forwarding del socket X11. L'interazione con l'ambiente esterno \u00e8 basata sul sistema di messaggistica DBus e su una API speciale, Portals. <\/p>\n
Per l'isolamento viene utilizzato uno strato di Bubblewrap e le tecnologie tradizionali di virtualizzazione dei contenitori per Linux, basate su cgroups, spazi dei nomi (namespaces), Seccomp e SELinux. Per l'uscita audio viene utilizzato PulseAudio. Tuttavia, l'isolamento pu\u00f2 essere disattivato, un'opzione sfruttata dagli sviluppatori di molti pacchetti popolari per ottenere accesso completo al filesystem e a tutti i dispositivi del sistema. Ad esempio, i pacchetti GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity e VLC vengono forniti con una modalit\u00e0 di isolamento limitata, che consente l'accesso completo alla home directory. <\/p>\n