자급자족 패키지 시스템 Flatpak 1.14.0 출시

Flatpak 1.14 툴킷의 새로운 안정적인 분기가 게시되었습니다. 이 분기는 특정 Linux 배포판에 연결되지 않고 애플리케이션을 시스템의 나머지 부분과 격리하는 특수 컨테이너에서 실행되는 자체 포함 패키지를 구축하기 위한 시스템을 제공합니다. Flatpak 패키지 실행에 대한 지원은 Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux 및 Ubuntu에 제공됩니다. Flatpak 패키지는 Fedora 저장소에 포함되어 있으며 기본 GNOME 응용 프로그램 관리자에서 지원됩니다.

Flatpak 1.14 브랜치의 주요 혁신:

• 상태(.local/state)의 파일에 대한 디렉터리를 만들고 이 디렉터리를 가리키는 XDG_STATE_HOME 환경 변수를 설정할 수 있습니다.
• 커널 모듈의 존재를 확인하기 위해 "have-kernel-module-name" 형식의 조건부 검사를 추가했습니다(이전에 제안된 have-intel-gpu 검사의 보편적인 유사체, 대신 "have-kernel-module-i915"라는 표현). "를 이제 사용할 수 있습니다.)
• "platpak document-unexport —doc-id=…" 명령이 구현되었습니다.
• 기본 환경에서 사용할 Appstream 메타데이터 내보내기가 제공됩니다.
• Fish 셸에 flatpak 명령 완료 규칙을 추가했습니다.
• X11 및 PulseAudio 서비스에 대한 네트워크 액세스가 허용됩니다(적절한 설정이 추가된 경우).
• 최근 "마스터"라는 단어가 정치적으로 잘못된 것으로 간주되었기 때문에 Git 저장소의 메인 브랜치 이름이 "마스터"에서 "메인"으로 변경되었습니다.
• 이제 애플리케이션 이름이 바뀌면 시작 스크립트가 다시 작성됩니다.
• SDK 및 debuginfo 파일을 설치하기 위해 설치 명령에 "--include-sdk" 및 "--include-debug" 옵션을 추가했습니다.
• flatpakref 및 flatpakrepo 파일에 "DeploySideloadCollectionID" 매개변수에 대한 지원이 추가되었습니다. 설정하면 메타데이터를 로드한 후가 아니라 원격 저장소를 추가할 때 컬렉션 ID가 설정됩니다.
• 별도의 MPRIS(미디어 플레이어 원격 인터페이스 사양) 이름을 사용하는 세션의 핸들러에 대해 중첩된 샌드박스 환경을 생성할 수 있습니다.
• 이제 명령줄 유틸리티는 오래된 런타임 확장 사용에 대한 정보를 제공합니다.
• 제거 명령은 아직 사용 중인 런타임 또는 런타임 확장을 제거하기 전에 확인 요청을 구현합니다.
• "Flatpak run"과 같은 명령은 이제 "--socket=gpg-agent" 옵션을 지원합니다.
• 사용자가 flatpak-system-helper 핸들러 조작(특별히 형식화된 분기 이름과 함께 삭제 요청 전송)을 통해 시스템의 임의 파일을 삭제할 수 있는 libostree의 취약점이 수정되었습니다. 이 문제는 2018년 이전에 출시된 Flatpak 및 libostree의 이전 버전(< 0.10.2)에서만 나타나며 현재 릴리스에는 영향을 미치지 않습니다.

Flatpak을 사용하면 애플리케이션 개발자가 각 배포에 대해 별도의 어셈블리를 만들지 않고도 하나의 범용 컨테이너를 준비하여 표준 배포 저장소에 포함되지 않은 프로그램의 배포를 단순화할 수 있다는 점을 상기시켜 드리겠습니다. 보안에 민감한 사용자의 경우 Flatpak을 사용하면 컨테이너에서 의심스러운 응용 프로그램을 실행하여 응용 프로그램과 관련된 네트워크 기능 및 사용자 파일에만 액세스할 수 있습니다. 신제품에 관심이 있는 사용자를 위해 Flatpak을 사용하면 시스템을 변경할 필요 없이 최신 테스트 및 안정적인 애플리케이션 릴리스를 설치할 수 있습니다. 예를 들어 Flatpak 패키지는 LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio 등을 위해 제작되었습니다.

패키지 크기를 줄이기 위해 애플리케이션 별 종속성만 포함하고 기본 시스템 및 그래픽 라이브러리(GTK, Qt, GNOME 및 KDE 라이브러리 등)는 플러그인 표준 런타임 환경으로 설계되었습니다. Flatpak과 Snap의 주요 차이점은 Snap은 기본 시스템 환경의 구성 요소를 사용하고 시스템 호출 필터링을 기반으로 격리하는 반면 Flatpak은 시스템과 별도로 컨테이너를 생성하고 대규모 런타임 세트로 작동하여 패키지를 종속성으로 제공하지 않고 표준으로 제공한다는 것입니다. 시스템 환경(예: GNOME 또는 KDE 프로그램 작동에 필요한 모든 라이브러리)

특별한 저장소를 통해 설치되는 표준 시스템 환경(런타임) 외에, 애플리케이션 운영에 필요한 추가 종속성(번들)이 제공됩니다. 런타임이 별도로 설치되고 한 번에 여러 컨테이너에 연결되어 컨테이너에 공통된 시스템 파일이 중복되는 것을 방지할 수 있음에도 불구하고 전체적으로 런타임과 번들은 컨테이너 채우기를 형성합니다. 하나의 시스템에는 여러 다른 런타임(GNOME, KDE)이 설치되거나 동일한 런타임의 여러 버전(GNOME 3.40, GNOME 3.42)이 설치될 수 있습니다. 애플리케이션을 종속성으로 포함하는 컨테이너는 런타임을 구성하는 개별 패키지를 고려하지 않고 특정 런타임에만 바인딩을 사용합니다. 누락된 모든 요소는 애플리케이션과 함께 직접 패키지됩니다. 컨테이너가 형성되면 런타임 콘텐츠는 /usr 파티션으로 마운트되고 번들은 /app 디렉터리에 마운트됩니다.

런타임 및 애플리케이션 컨테이너는 Git과 같은 저장소에서 이미지가 원자적으로 업데이트되는 OSTree 기술을 사용하여 구축됩니다. 이를 통해 배포 구성 요소에 버전 제어 방법을 적용할 수 있습니다. 이전 상태). RPM 패키지는 특수 rpm-ostree 계층을 사용하여 OSTree 저장소로 변환됩니다. 작업 환경 내에서 패키지를 별도로 설치하고 업데이트하는 것은 지원되지 않으며, 시스템은 개별 구성 요소 수준에서 업데이트되는 것이 아니라 전체적으로 상태를 원자적으로 변경하여 업데이트됩니다. 업데이트를 점진적으로 적용하는 도구를 제공하므로 업데이트할 때마다 이미지를 완전히 교체할 필요가 없습니다.

생성된 격리된 환경은 사용된 배포와 완전히 독립적이며 패키지의 적절한 설정을 통해 사용자 또는 메인 시스템의 파일 및 프로세스에 액세스할 수 없으며 DRI를 통한 출력을 제외하고 장비에 직접 액세스할 수 없습니다. 네트워크 하위 시스템을 호출합니다. 그래픽 출력 및 입력 구성은 Wayland 프로토콜을 사용하거나 X11 소켓 전달을 통해 구현됩니다. 외부 환경과의 상호 작용은 DBus 메시징 시스템과 특수 포털 API를 기반으로 합니다.

격리를 위해 cgroup, 네임스페이스, Seccomp 및 SELinux 사용을 기반으로 Bubblewrap 계층과 기존 Linux 컨테이너 가상화 기술이 사용됩니다. PulseAudio는 사운드를 출력하는 데 사용됩니다. 이 경우 많은 인기 패키지 개발자가 파일 시스템과 시스템의 모든 장치에 대한 전체 액세스 권한을 얻기 위해 사용하는 격리를 비활성화할 수 있습니다. 예를 들어 GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity 및 VLC에는 홈 디렉터리에 대한 전체 액세스 권한을 유지하는 제한된 격리 모드가 제공됩니다. 홈 디렉터리에 대한 액세스 권한이 있는 패키지가 손상된 경우 패키지 설명에 "샌드박스 처리된" 레이블이 있음에도 불구하고 공격자는 코드를 실행하려면 ~/.bashrc 파일만 변경하면 됩니다. 별도의 문제는 패키지 변경 사항을 제어하고 종종 기본 프로젝트나 배포판과 관련되지 않은 패키지 빌더에 대한 신뢰입니다.

출처 : opennet.ru