Објавување на самостојниот систем на пакети Flatpak 1.14.0

Објавена е нова стабилна гранка на пакетот алатки Flatpak 1.14, кој обезбедува систем за градење самостојни пакети кои не се врзани за одредени дистрибуции на Linux и работат во посебен контејнер кој ја изолира апликацијата од остатокот од системот. Поддршка за извршување Flatpak пакети е обезбедена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Flatpak пакетите се вклучени во складиштето на Fedora и се поддржани од домашниот менаџер на апликации на GNOME.

Клучни иновации во гранката Flatpak 1.14:

• Обеспечено создание каталога для файлов в состоянием (.local/state) и выставление указывающей на этот каталог переменной окружения XDG_STATE_HOME.
• Добавлены условные проверки вида «have-kernel-module-имя» для определения наличия модулей ядра (универсальный аналог ранее предлагаемой проверке have-intel-gpu, вместо которой теперь можно использовать выражение «have-kernel-module-i915»).
• Реализована команда «flatpak document-unexport —doc-id=…».
• Обеспечен экспорт метаданных Appstream для использования в основном окружении.
• Добавлены правила автодополнения команд flatpak для командной оболочки Fish
• Разрешён сетевой доступ к сервисам X11 и PulseAudio (при добавлении соответствующих настроек).
• Основная ветка в Git-репозитории переименована с «master» на «main», так как слово «master» считается последнее время неполиткорректным.
• Обеспечена перезапись скриптов запуска в случае переименования приложения.
• В команду install добавлены опции «—include-sdk» и «—include-debug» для установки SDK и файлов debuginfo.
• В файлы flatpakref и flatpakrepo добавлена поддержка параметра «DeploySideloadCollectionID», при установке которого идентификатор коллекции будет выставлен во время добавления удалённого репозитория, а не после загрузки метаданных.
• Разрешено создание вложенных sandbox-окружений для обработчиков в сеансах с отдельными именами MPRIS (Media Player Remote Interfacing Specification).
• В утилитах командной строки обеспечен вывод сведений об использовании устаревших runtime-расширений.
• В команде uninstall реализован запрос подтверждения перед удалением runtime или runtime-расширений, которые ещё используются.
• В команды подобные «flatpak run» добавлена поддержка опции «—socket=gpg-agent».
• В libostree устранена уязвимость, потенциально позволяющая пользователю удалить произвольные файлы в системе через манипуляции с обработчиком flatpak-system-helper (отправке запроса на удаление со специально оформленным именем ветки). Проблема проявляется только в старых версиях Flatpak и libostree, выпущенных до 2018 года (< 0.10.2), и не затрагивает актуальные выпуски.

Да ве потсетиме дека Flatpak им овозможува на развивачите на апликации да ја поедностават дистрибуцијата на нивните програми кои не се вклучени во стандардните складишта за дистрибуција со подготовка на еден универзален контејнер без создавање посебни склопови за секоја дистрибуција. За корисници кои се свесни за безбедноста, Flatpak ви овозможува да извршите сомнителна апликација во контејнер, обезбедувајќи пристап само до мрежните функции и корисничките датотеки поврзани со апликацијата. За корисниците кои се заинтересирани за нови производи, Flatpak ви овозможува да ги инсталирате најновите тест и стабилни изданија на апликации без потреба да направите промени во системот. На пример, Flatpak пакетите се изградени за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio итн.

За да се намали големината на пакетот, тој вклучува само зависности специфични за апликацијата, а основните системски и графички библиотеки (библиотеки GTK, Qt, GNOME и KDE, итн.) се дизајнирани како стандардни опкружувања за траење со приклучок. Клучната разлика помеѓу Flatpak и Snap е во тоа што Snap ги користи компонентите на главната системска околина и изолација врз основа на филтрирање системски повици, додека Flatpak создава контејнер одвоен од системот и работи со големи множества за извршување, обезбедувајќи не пакети како зависност, туку стандард системски околини (на пример, сите библиотеки неопходни за функционирање на програмите на GNOME или KDE).

Покрај стандардната системска околина (време на работа), инсталирана преку специјално складиште, се обезбедуваат дополнителни зависности (пакет) потребни за функционирање на апликацијата. Севкупно, траењето и пакетот го формираат полнењето на контејнерот, и покрај фактот што траењето е инсталирано одделно и врзано за неколку контејнери одеднаш, што ви овозможува да избегнете дуплирање на системски датотеки вообичаени за контејнерите. Еден систем може да има инсталирано неколку различни времиња на работа (GNOME, KDE) или неколку верзии на исто време на работа (GNOME 3.40, GNOME 3.42). Контејнер со апликација како зависност користи врзување само за одредено траење, без да ги земе предвид поединечните пакети што го сочинуваат времето на траење. Сите елементи што недостасуваат се спакувани директно со апликацијата. Кога се формира контејнер, содржината на траење се монтира како партиција /usr, а пакетот е монтиран во директориумот /app.

Контејнерите за извршување и апликации се изградени со користење на технологијата OSTree, во која сликата е атомски ажурирана од складиште слично на Git, што овозможува методите за контрола на верзијата да се применат на компонентите на дистрибуција (на пример, можете брзо да го вратите системот на претходна состојба). RPM пакетите се преведуваат во складиштето OSTree користејќи специјален слој rpm-ostree. Одделна инсталација и ажурирање на пакети во работната средина не е поддржана; системот се ажурира не на ниво на поединечни компоненти, туку како целина, атомски менувајќи ја својата состојба. Обезбедува алатки за постепено примена на ажурирања, елиминирајќи ја потребата целосно да се замени сликата со секое ажурирање.

Генерираната изолирана средина е целосно независна од користената дистрибуција и, со соодветни поставки на пакетот, нема пристап до датотеките и процесите на корисникот или главниот систем, не може директно да пристапи до опремата, со исклучок на излезот преку DRI, и повици до мрежниот потсистем. Графичкиот излез и организацијата на влезот се имплементирани со помош на протоколот Wayland или преку препраќање на приклучокот X11. Интеракцијата со надворешното опкружување се заснова на системот за пораки DBus и специјалното Portals API.

Для изоляции используется прослойка Bubblewrap и традиционные для Linux технологии контейнерной виртуализации, основанные на использовании cgroups, пространств имён (namespaces), Seccomp и SELinux. Для вывода звука применяется PulseAudio. При этом изоляция может быть отключена, чем пользуются разработчики многих популярных пакетов для получения полного доступа к ФС и всем устройствам в системе. Например, с ограниченным режимом изоляции, оставляющим полный доступ к домашнему каталогу, поставляются пакеты GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC. В случае компрометации пакетов с доступом к домашнему каталогу, несмотря на наличие в описании пакета метки «sandboxed», атакующему для выполнения своего кода достаточно изменить файл ~/.bashrc. Отдельным вопросом является контроль за внесением изменений в пакеты и доверие к сборщикам пакетов, которые часто не связаны с основным проектом или дистрибутивами.

Извор: opennet.ru