שחרור של מערכת חבילות עצמאית של Flatpak 1.14.0

פורסם סניף יציב חדש של ערכת הכלים Flatpak 1.14, המספק מערכת לבניית חבילות עצמאיות שאינן קשורות להפצות לינוקס ספציפיות ופועלות בקונטיינר מיוחד המבודד את האפליקציה משאר המערכת. תמיכה בהפעלת חבילות Flatpak מסופקת עבור Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux ואובונטו. חבילות Flatpak כלולות במאגר פדורה ונתמכות על ידי מנהל היישומים המקורי של GNOME.

חידושים מרכזיים בסניף Flatpak 1.14:

• אפשר ליצור ספרייה לקבצים במצב (.local/state) ולהגדיר את משתנה הסביבה XDG_STATE_HOME המצביע על ספרייה זו.
• נוספו בדיקות מותנות של הטופס "יש לו-גרעין-מודול-שם" כדי לקבוע את נוכחותם של מודולי ליבה (אנלוגי אוניברסלי לבדיקת ה-have-intel-gpu שהוצעה קודם לכן, ובמקום זה הביטוי "יש-ה-kernel-module-i915 כעת ניתן להשתמש).
• הפקודה "flatpak document-unexport —doc-id=..." יושמה.
• מסופק ייצוא של מטא נתונים של Appstream לשימוש בסביבה הראשית.
• נוספו כללי השלמת פקודות flatpak עבור מעטפת הדג
• מותרת גישה לרשת לשירותי X11 ו-PulseAudio (אם ההגדרות המתאימות מתווספות).
• הסניף הראשי במאגר Git שונה מ"מאסטר" ל"ראשי", מכיוון שהמילה "מאסטר" נחשבה לאחרונה לא תקינה פוליטית.
• סקריפטי ההשקה נכתבים כעת מחדש אם שם היישום שונה.
• נוספו אפשרויות "--include-sdk" ו-"--include-debug" לפקודת ההתקנה כדי להתקין את ה-SDK וקבצי debuginfo.
• נוספה תמיכה בפרמטר "DeploySideloadCollectionID" לקבצי flatpakref ו- flatpakrepo. כאשר מוגדר, מזהה האוסף יוגדר בעת הוספת מאגר מרוחק, ולא לאחר טעינת המטא-נתונים.
• אפשרה יצירה של סביבות ארגז חול מקוננות למטפלים בהפעלות עם שמות נפרדים של MPRIS (Media Player Remote Interfacing Specification).
• כלי עזר של שורת הפקודה מספקים כעת מידע על השימוש בהרחבות זמן ריצה מיושנות.
• הפקודה הסר מיישמת בקשת אישור לפני הסרת זמן ריצה או הרחבות זמן ריצה שעדיין בשימוש.
• נוספה תמיכה באפשרות "--socket=gpg-agent" לפקודות כמו "flatpak run".
• תוקנה פגיעות ב- libotree שעלולה לאפשר למשתמש למחוק קבצים שרירותיים במערכת באמצעות מניפולציה של המטפל flatpak-system-helper (שליחת בקשת מחיקה עם שם סניף בפורמט מיוחד). הבעיה מופיעה רק בגרסאות ישנות יותר של Flatpak ו- libostree שיצאו לפני 2018 (<0.10.2) ואינה משפיעה על מהדורות נוכחיות.

נזכיר לכם ש-Flatpak מאפשרת למפתחי אפליקציות לפשט את ההפצה של התוכניות שלהם שאינן כלולות במאגרי ההפצה הסטנדרטיים על ידי הכנת מיכל אוניברסלי אחד מבלי ליצור מכלולים נפרדים לכל הפצה. עבור משתמשים מודעים לאבטחה, Flatpak מאפשרת לך להפעיל אפליקציה מפוקפקת בקונטיינר, ומספקת גישה רק לפונקציות הרשת ולקבצי המשתמש המשויכים לאפליקציה. למשתמשים המעוניינים במוצרים חדשים, Flatpak מאפשרת לך להתקין את הבדיקות העדכניות ביותר ומהדורות יציבות של אפליקציות ללא צורך בביצוע שינויים במערכת. לדוגמה, חבילות Flatpak בנויות עבור LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio וכו'.

כדי להקטין את גודל החבילה, הוא כולל רק תלות ספציפית ליישום, וספריות המערכת והגרפיקה הבסיסיות (GTK, Qt, GNOME ו-KDE ספריות וכו') מתוכננות כסביבות זמן ריצה סטנדרטיות תוספים. ההבדל העיקרי בין Flatpak ל-Snap הוא ש-Snap משתמש ברכיבים של סביבת המערכת הראשית ובבידוד על בסיס סינון קריאות מערכת, בעוד Flatpak יוצר קונטיינר נפרד מהמערכת ופועל עם ערכות זמן ריצה גדולות, ומספק לא חבילות כתלות, אלא סטנדרטי. סביבות מערכת אלה (לדוגמה, כל הספריות הנחוצות לתפעול תוכניות GNOME או KDE).

בנוסף לסביבת המערכת הרגילה (זמן ריצה), המותקנת באמצעות מאגר מיוחד, מסופקות תלות נוספות (צרור) הנדרשות לתפעול האפליקציה. בסך הכל, זמן ריצה וחבילה יוצרים את מילוי הקונטיינר, למרות העובדה שזמן הריצה מותקן בנפרד וקשור למספר קונטיינרים בו זמנית, מה שמאפשר להימנע משכפול של קבצי מערכת המשותפים לקונטיינרים. למערכת אחת יכולות להיות מותקנות מספר זמני ריצה שונים (GNOME, KDE) או מספר גרסאות של אותו זמן ריצה (GNOME 3.40, GNOME 3.42). קונטיינר עם אפליקציה כתלות משתמש ב-binding רק לזמן ריצה ספציפי, מבלי לקחת בחשבון את החבילות הבודדות המרכיבות את זמן הריצה. כל האלמנטים החסרים נארזים ישירות עם האפליקציה. כאשר נוצר קונטיינר, תוכן זמן הריצה נטען כמחיצת /usr, והחבילה נטען בספריית /app.

זמן הריצה ומיכלי האפליקציות בנויים באמצעות טכנולוגיית OSTree, בה התמונה מתעדכנת אטומית ממאגר דמוי Git, המאפשר להחיל שיטות בקרת גרסאות על רכיבי ההפצה (לדוגמה, ניתן להחזיר את המערכת במהירות לאחור ל- מצב קודם). חבילות RPM מתורגמות למאגר OSTree באמצעות שכבת rpm-ostree מיוחדת. התקנה ועדכון נפרדים של חבילות בתוך סביבת העבודה אינם נתמכים; המערכת מתעדכנת לא ברמה של רכיבים בודדים, אלא כמכלול, משנה את מצבה מבחינה אטומית. מספק כלים להחלת עדכונים בהדרגה, ומבטל את הצורך להחליף לחלוטין את התמונה בכל עדכון.

הסביבה המבודדת שנוצרה אינה תלויה לחלוטין בהפצה שבה נעשה שימוש, ועם הגדרות מתאימות של החבילה, אין לה גישה לקבצים ותהליכים של המשתמש או של המערכת הראשית, אינה יכולה לגשת ישירות לציוד, למעט פלט באמצעות DRI, ושיחות לתת-מערכת הרשת. פלט גרפי וארגון קלט מיושמים באמצעות פרוטוקול Wayland או באמצעות העברת שקע X11. האינטראקציה עם הסביבה החיצונית מבוססת על מערכת ההודעות DBus ו-API מיוחד של Portals.

לצורך בידוד, נעשה שימוש בשכבת Bubblewrap ובטכנולוגיות וירטואליזציה מסורתיות של מיכל לינוקס, המבוססות על שימוש ב-cgroups, מרחבי שמות, Seccomp ו-SELinux. PulseAudio משמש להפקת צליל. במקרה זה, ניתן להשבית את הבידוד, המשמש את המפתחים של חבילות פופולריות רבות כדי לקבל גישה מלאה למערכת הקבצים ולכל המכשירים במערכת. לדוגמה, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity ו-VLC מגיעים עם מצב בידוד מוגבל המשאיר גישה מלאה לספריית הבית. אם חבילות עם גישה לספרייה הביתית נפגעות, למרות נוכחות התווית "ארגז חול" בתיאור החבילה, התוקף צריך לשנות רק את הקובץ ~/.bashrc כדי לבצע את הקוד שלו. נושא נפרד הוא שליטה בשינויים בחבילות ואמון בבוני חבילות, שלעתים קרובות אינם משויכים לפרויקט או להפצות הראשיות.

מקור: OpenNet.ru