שחרור של מערכת חבילות עצמאית של Flatpak 1.12.0

פורסם סניף יציב חדש של ערכת הכלים Flatpak 1.12, המספק מערכת לבניית חבילות עצמאיות שאינן קשורות להפצות לינוקס ספציפיות ופועלות בקונטיינר מיוחד המבודד את האפליקציה משאר המערכת. תמיכה בהפעלת חבילות Flatpak מסופקת עבור Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux ואובונטו. חבילות Flatpak כלולות במאגר פדורה ונתמכות על ידי מנהל היישומים המקורי של GNOME.

חידושים מרכזיים בסניף Flatpak 1.12:

• ניהול משופר של סביבות ארגז חול מקוננות בשימוש בחבילת flatpak עם הלקוח עבור שירות משלוח המשחקים Steam. בארגזי חול מקוננות, מותרת יצירת היררכיות נפרדות של ספריות /usr ו-/app, המשמשות ב-Steam כדי להשיק משחקים במיכל נפרד עם מחיצת /usr משלו, המבודדת מהסביבה עם לקוח Steam.
• כל מופעי החבילה עם אותו מזהה יישום (מזהה אפליקציה) חולקים את הספריות /tmp ו-$XDG_RUNTIME_DIR. לחלופין, באמצעות הדגל "--allow=per-app-dev-shm", תוכל לאפשר את השימוש בספרייה המשותפת /dev/shm.
• תמיכה משופרת ביישומי ממשק משתמש טקסט (TUI) כגון gdb.
• יישום מהיר יותר של הפקודה "ostree prune" נוסף לכלי השירות build-update-repo, מותאם לעבודה עם מאגרים במצב ארכיון.
• פגיעות CVE-2021-41133 ביישום מנגנון הפורטל, הקשורה לחוסר חסימה של קריאות מערכת חדשות הקשורות להרכבת מחיצות בכללי seccomp, תוקנה. הפגיעות אפשרה לאפליקציה ליצור ארגז חול מקונן כדי לעקוף את מנגנוני האימות של "פורטל" המשמשים לארגון גישה למשאבים מחוץ לקונטיינר.

  כתוצאה מכך, תוקף, על ידי ביצוע קריאות מערכת הקשורות להרכבה, יכול לעקוף את מנגנון בידוד ארגז החול ולקבל גישה מלאה לתוכן הסביבה המארחת. ניתן לנצל את הפגיעות רק בחבילות המספקות ליישומים גישה ישירה לשקעי AF_UNIX, כמו אלה המשמשים את Wayland, Pipewire ו-pipewire-pulse. במהדורה 1.12.0, הפגיעות לא בוטלה לחלוטין, ולכן עדכון 1.12.1 שוחרר חם על עקביו.

נזכיר לכם ש-Flatpak מאפשרת למפתחי אפליקציות לפשט את ההפצה של התוכניות שלהם שאינן כלולות במאגרי ההפצה הסטנדרטיים על ידי הכנת מיכל אוניברסלי אחד מבלי ליצור מכלולים נפרדים לכל הפצה. עבור משתמשים מודעים לאבטחה, Flatpak מאפשרת לך להפעיל אפליקציה מפוקפקת בקונטיינר, ומספקת גישה רק לפונקציות הרשת ולקבצי המשתמש המשויכים לאפליקציה. למשתמשים המעוניינים במוצרים חדשים, Flatpak מאפשרת לך להתקין את הבדיקות העדכניות ביותר ומהדורות יציבות של אפליקציות ללא צורך בביצוע שינויים במערכת. לדוגמה, חבילות Flatpak בנויות עבור LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio וכו'.

כדי להקטין את גודל החבילה, הוא כולל רק תלות ספציפית ליישום, וספריות המערכת והגרפיקה הבסיסיות (GTK, Qt, GNOME ו-KDE ספריות וכו') מתוכננות כסביבות זמן ריצה סטנדרטיות תוספים. ההבדל העיקרי בין Flatpak ל-Snap הוא ש-Snap משתמש ברכיבים של סביבת המערכת הראשית ובבידוד על בסיס סינון קריאות מערכת, בעוד Flatpak יוצר קונטיינר נפרד מהמערכת ופועל עם ערכות זמן ריצה גדולות, ומספק לא חבילות כתלות, אלא סטנדרטי. סביבות מערכת אלה (לדוגמה, כל הספריות הנחוצות לתפעול תוכניות GNOME או KDE).

בנוסף לסביבת המערכת הרגילה (זמן ריצה), המותקנת באמצעות מאגר מיוחד, מסופקות תלות נוספות (צרור) הנדרשות לתפעול האפליקציה. בסך הכל, זמן ריצה וחבילה יוצרים את מילוי הקונטיינר, למרות העובדה שזמן הריצה מותקן בנפרד וקשור למספר קונטיינרים בו זמנית, מה שמאפשר להימנע משכפול של קבצי מערכת המשותפים לקונטיינרים. למערכת אחת יכולות להיות מותקנות מספר זמני ריצה שונים (GNOME, KDE) או מספר גרסאות של אותו זמן ריצה (GNOME 3.40, GNOME 3.42). קונטיינר עם אפליקציה כתלות משתמש ב-binding רק לזמן ריצה ספציפי, מבלי לקחת בחשבון את החבילות הבודדות המרכיבות את זמן הריצה. כל האלמנטים החסרים נארזים ישירות עם האפליקציה. כאשר נוצר קונטיינר, תוכן זמן הריצה נטען כמחיצת /usr, והחבילה נטען בספריית /app.

זמן הריצה ומיכלי האפליקציות בנויים באמצעות טכנולוגיית OSTree, בה התמונה מתעדכנת אטומית ממאגר דמוי Git, המאפשר להחיל שיטות בקרת גרסאות על רכיבי ההפצה (לדוגמה, ניתן להחזיר את המערכת במהירות לאחור ל- מצב קודם). חבילות RPM מתורגמות למאגר OSTree באמצעות שכבת rpm-ostree מיוחדת. התקנה ועדכון נפרדים של חבילות בתוך סביבת העבודה אינם נתמכים; המערכת מתעדכנת לא ברמה של רכיבים בודדים, אלא כמכלול, משנה את מצבה מבחינה אטומית. מספק כלים להחלת עדכונים בהדרגה, ומבטל את הצורך להחליף לחלוטין את התמונה בכל עדכון.

הסביבה המבודדת שנוצרה אינה תלויה לחלוטין בהפצה שבה נעשה שימוש, ועם הגדרות מתאימות של החבילה, אין לה גישה לקבצים ותהליכים של המשתמש או של המערכת הראשית, אינה יכולה לגשת ישירות לציוד, למעט פלט באמצעות DRI, ושיחות לתת-מערכת הרשת. פלט גרפי וארגון קלט מיושמים באמצעות פרוטוקול Wayland או באמצעות העברת שקע X11. האינטראקציה עם הסביבה החיצונית מבוססת על מערכת ההודעות DBus ו-API מיוחד של Portals.

לצורך בידוד, נעשה שימוש בשכבת Bubblewrap ובטכנולוגיות וירטואליזציה מסורתיות של מיכל לינוקס, המבוססות על שימוש ב-cgroups, מרחבי שמות, Seccomp ו-SELinux. PulseAudio משמש להפקת צליל. במקרה זה, ניתן להשבית את הבידוד, המשמש את המפתחים של חבילות פופולריות רבות כדי לקבל גישה מלאה למערכת הקבצים ולכל המכשירים במערכת. לדוגמה, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ו-VLC מגיעים עם מצב בידוד מוגבל המשאיר גישה מלאה לספריית הבית.

אם חבילות עם גישה לספרייה הביתית נפגעות, למרות נוכחות התווית "ארגז חול" בתיאור החבילה, התוקף צריך לשנות רק את הקובץ ~/.bashrc כדי לבצע את הקוד שלו. נושא נפרד הוא שליטה בשינויים בחבילות ואמון בבוני חבילות, שלעתים קרובות אינם משויכים לפרויקט או להפצות הראשיות.

מקור: OpenNet.ru