Michael Catanzaro, uno degli sviluppatori del browser web Epiphany (GNOME Web), coinvolto nei progetti GNOME e Fedora, ha proposto di rivedere l'uso del catalogo FlatHub in Fedora Linux. Nella versione di Fedora Workstation con aggiornamenti atomici, \u00e8 stato suggerito di abilitare per impostazione predefinita il catalogo FlatHub per i pacchetti flatpak installati dagli utenti, mentre il proprio repository di pacchetti flatpak sarebbe limitato solo all'uso per pacchetti preinstallati. <\/p>\n
Attualmente, Fedora offre per impostazione predefinita un proprio repository flatpak, il cui contenuto \u00e8 basato su una ricompilazione dei pacchetti rpm. Di default, il download dei pacchetti da FlatHub pu\u00f2 essere attivato solo dopo l'installazione, abilitando nell'applicazione GNOME la voce 'Abilita repository di terze parti', ma anche in questo caso i pacchetti del repository Fedora rimangono pi\u00f9 prioritari. <\/p>\n
Secondo Michael, la maggior parte degli utenti preferirebbe l'installazione di pacchetti dal catalogo FlatHub, raccolti dagli sviluppatori principali delle applicazioni, piuttosto che da chi supporta Fedora (l'80% dei partecipanti alla discussione si \u00e8 espresso a favore dell'uso di FlatHub). Si presume che gli sviluppatori delle applicazioni conoscano meglio le peculiarit\u00e0 dei loro progetti e assemblino pacchetti flatpak che funzionano meglio, testati pi\u00f9 accuratamente dalla comunit\u00e0. Inoltre, i pacchetti rpm che supportano Fedora non mostrano interesse a mantenere le varianti dei pacchetti in formato flatpak e non prestano adeguata attenzione ai rapporti di errore in tali pacchetti, il che porta a una qualit\u00e0 dei pacchetti flatpak di Fedora inferiore a quella dei pacchetti pubblicati su FlatHub dai progetti principali. <\/p>\n
Molti utenti non sono a conoscenza del fatto che installando un pacchetto flatpak tramite il gestore delle applicazioni di Fedora, esso non viene installato da FlatHub, come avviene in altre distribuzioni, ma dal repository Fedora, i cui pacchetti differiscono dalle varianti di FlatHub. Di conseguenza, i problemi specifici per i pacchetti del repository Fedora vengono percepiti come problemi nei pacchetti ufficiali di FlatHub, e le lamentele vengono indirizzate agli sviluppatori principali anzich\u00e9 a chi supporta Fedora. Ad esempio, la fornitura del problematico pacchetto flatpak OBS Studio in Fedora, che aveva una priorit\u00e0 maggiore rispetto al pacchetto di FlatHub, ha portato a un conflitto con il progetto OBS Studio a febbraio. <\/p>\n
Si osserva che il futuro di Fedora Workstation si vede come una distribuzione aggiornabile in modo atomico, quindi \u00e8 meglio non ritardare la transizione a FlatHub. L'uso di un repository Flatpak proprietario \u00e8 motivato dalla necessit\u00e0 di costruire in un ambiente affidabile. Per i pacchetti su FlatHub, anche considerando solo i pacchetti verificati, la costruzione avviene in infrastrutture esterne, la cui sicurezza pu\u00f2 sollevare dubbi. <\/p>\n
Tra i vantaggi di mantenere un proprio repository in Fedora ci sono le garanzie che il pacchetto sia costruito dal codice sorgente dichiarato e contenga solo componenti con licenze aperte approvate per l'uso da Fedora. I pacchetti nel repository di Fedora possono anche includere patch disponibili solo per i pacchetti RPM in Fedora e che non sono ancora state accettate nella base di codice principale dei progetti. <\/p>\n
La proposta di Michael consiste nell'includere per impostazione predefinita nella versione atomica di Fedora Workstation il supporto per l'installazione di pacchetti provenienti da FlatHub, rientranti nella categoria 'software libero'. La possibilit\u00e0 di installare da FlatHub riguarder\u00e0 solo i pacchetti installati dagli utenti tramite l'applicazione GNOME Software. Tutti i pacchetti flatpak preinstallati continueranno a essere scaricati dal proprio repository di Fedora, ma per i pacchetti non predefiniti si propone di utilizzare FlatHub come fonte di download. <\/p>\n
Prima di passare a FlatHub, si propone di implementare congiuntamente in FlatHub possibilit\u00e0 per la costruzione di pacchetti in un'infrastruttura affidabile e di attivare controlli basati su build riproducibili. Inoltre, \u00e8 necessario affrontare la questione dell'uso nelle build di versioni obsolete di Flatpak Runtime, per le quali non sono gi\u00e0 stati trasferiti aggiornamenti sulle vulnerabilit\u00e0. Attualmente, 994 su 3438 (quasi un terzo) dei pacchetti verificati di FlatHub utilizzano Runtime obsoleti. I problemi di sicurezza sorgono anche a causa di dipendenze interne obsolete incluse nei pacchetti e dall'uso di misure insufficienti di isolamento sandbox (gli sviluppatori di alcuni pacchetti disabilitano le modalit\u00e0 di protezione). <\/p>\n