Објавување на самостојниот систем на пакети Flatpak 1.12.0

Објавена е нова стабилна гранка на пакетот алатки Flatpak 1.12, кој обезбедува систем за градење самостојни пакети кои не се врзани за одредени дистрибуции на Linux и работат во посебен контејнер кој ја изолира апликацијата од остатокот од системот. Поддршка за извршување Flatpak пакети е обезбедена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Flatpak пакетите се вклучени во складиштето на Fedora и се поддржани од домашниот менаџер на апликации на GNOME.

Клучни иновации во гранката Flatpak 1.12:

• Подобрено управување со вгнездени средини со песок што се користат во пакетот flatpak со клиентот за услугата за испорака на игри Steam. Во вгнездените песочни кутии, дозволено е создавање на посебни хиерархии на директориумите /usr и /app, кои се користат во Steam за лансирање игри во посебен контејнер со своја партиција /usr, изолирана од околината со клиентот Steam.
• Сите примероци на пакети со ист идентификатор на апликација (app-ID) ги споделуваат директориумите /tmp и $XDG_RUNTIME_DIR. Изборно, користејќи го знамето „--allow=per-app-dev-shm“, можете да го овозможите користењето на споделениот директориум /dev/shm.
• Подобрена поддршка за апликации за текстуален кориснички интерфејс (TUI), како што е gdb.
• Побрза имплементација на командата „ostree prune“ е додадена во алатката build-update-repo, оптимизирана за работа со складишта во режим на архива.
• Поправена е ранливоста CVE-2021-41133 во имплементацијата на порталниот механизам, поврзана со недостатокот на блокирање на нови системски повици поврзани со монтажа на партиции во правилата seccomp. Ранливоста ѝ овозможи на апликацијата да создаде вгнездено песочно поле за да ги заобиколи механизмите за верификација „портал“ што се користат за организирање пристап до ресурси надвор од контејнерот.

  Како резултат на тоа, напаѓачот, со извршување на системски повици поврзани со монтажа, може да го заобиколи механизмот за изолација на песокот и да добие целосен пристап до содржината на околината на домаќинот. Ранливоста може да се искористи само во пакети кои обезбедуваат апликации со директен пристап до AF_UNIX приклучоците, како што се оние што ги користат Wayland, Pipewire и pipewire-pulse. Во изданието 1.12.0, ранливоста не беше целосно елиминирана, па ажурирањето 1.12.1 беше објавено жешко.

Да ве потсетиме дека Flatpak им овозможува на развивачите на апликации да ја поедностават дистрибуцијата на нивните програми кои не се вклучени во стандардните складишта за дистрибуција со подготовка на еден универзален контејнер без создавање посебни склопови за секоја дистрибуција. За корисници кои се свесни за безбедноста, Flatpak ви овозможува да извршите сомнителна апликација во контејнер, обезбедувајќи пристап само до мрежните функции и корисничките датотеки поврзани со апликацијата. За корисниците кои се заинтересирани за нови производи, Flatpak ви овозможува да ги инсталирате најновите тест и стабилни изданија на апликации без потреба да направите промени во системот. На пример, Flatpak пакетите се изградени за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio итн.

За да се намали големината на пакетот, тој вклучува само зависности специфични за апликацијата, а основните системски и графички библиотеки (библиотеки GTK, Qt, GNOME и KDE, итн.) се дизајнирани како стандардни опкружувања за траење со приклучок. Клучната разлика помеѓу Flatpak и Snap е во тоа што Snap ги користи компонентите на главната системска околина и изолација врз основа на филтрирање системски повици, додека Flatpak создава контејнер одвоен од системот и работи со големи множества за извршување, обезбедувајќи не пакети како зависност, туку стандард системски околини (на пример, сите библиотеки неопходни за функционирање на програмите на GNOME или KDE).

Покрај стандардната системска околина (време на работа), инсталирана преку специјално складиште, се обезбедуваат дополнителни зависности (пакет) потребни за функционирање на апликацијата. Севкупно, траењето и пакетот го формираат полнењето на контејнерот, и покрај фактот што траењето е инсталирано одделно и врзано за неколку контејнери одеднаш, што ви овозможува да избегнете дуплирање на системски датотеки вообичаени за контејнерите. Еден систем може да има инсталирано неколку различни времиња на работа (GNOME, KDE) или неколку верзии на исто време на работа (GNOME 3.40, GNOME 3.42). Контејнер со апликација како зависност користи врзување само за одредено траење, без да ги земе предвид поединечните пакети што го сочинуваат времето на траење. Сите елементи што недостасуваат се спакувани директно со апликацијата. Кога се формира контејнер, содржината на траење се монтира како партиција /usr, а пакетот е монтиран во директориумот /app.

Контејнерите за извршување и апликации се изградени со користење на технологијата OSTree, во која сликата е атомски ажурирана од складиште слично на Git, што овозможува методите за контрола на верзијата да се применат на компонентите на дистрибуција (на пример, можете брзо да го вратите системот на претходна состојба). RPM пакетите се преведуваат во складиштето OSTree користејќи специјален слој rpm-ostree. Одделна инсталација и ажурирање на пакети во работната средина не е поддржана; системот се ажурира не на ниво на поединечни компоненти, туку како целина, атомски менувајќи ја својата состојба. Обезбедува алатки за постепено примена на ажурирања, елиминирајќи ја потребата целосно да се замени сликата со секое ажурирање.

Генерираната изолирана средина е целосно независна од користената дистрибуција и, со соодветни поставки на пакетот, нема пристап до датотеките и процесите на корисникот или главниот систем, не може директно да пристапи до опремата, со исклучок на излезот преку DRI, и повици до мрежниот потсистем. Графичкиот излез и организацијата на влезот се имплементирани со помош на протоколот Wayland или преку препраќање на приклучокот X11. Интеракцијата со надворешното опкружување се заснова на системот за пораки DBus и специјалното Portals API.

За изолација, се користат слојот Bubblewrap и традиционалните технологии за виртуелизација на контејнери на Linux, базирани на употреба на cgroups, именски простори, Seccomp и SELinux. PulseAudio се користи за емитување звук. Во овој случај, изолацијата може да се оневозможи, што го користат развивачите на многу популарни пакети за да добијат целосен пристап до датотечниот систем и сите уреди во системот. На пример, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC доаѓаат со ограничен режим на изолација што остава целосен пристап до домашниот директориум.

Ако пакетите со пристап до домашниот директориум се компромитирани, и покрај присуството на ознаката „sandboxed“ во описот на пакетот, напаѓачот треба само да ја промени датотеката ~/.bashrc за да го изврши својот код. Посебно прашање е контролата на промените на пакетите и довербата во создавачите на пакети, кои често не се поврзани со главниот проект или дистрибуции.

Извор: opennet.ru