फ्लॅटपॅक 1.12.0 च्या स्वयंपूर्ण पॅकेजेसच्या प्रणालीचे प्रकाशन

Flatpak 1.12 टूलकिटची एक नवीन स्थिर शाखा प्रकाशित केली गेली आहे, जी विशिष्ट Linux वितरणाशी जोडलेली नसलेली स्वयं-समाविष्ट पॅकेजेस तयार करण्यासाठी एक प्रणाली प्रदान करते आणि विशिष्ट कंटेनरमध्ये चालते जी उर्वरित सिस्टमपासून अनुप्रयोग वेगळे करते. Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux आणि Ubuntu साठी Flatpak पॅकेजेस चालवण्यासाठी समर्थन पुरवले जाते. Flatpak पॅकेजेस Fedora रेपॉजिटरीमध्ये समाविष्ट केले जातात आणि मूळ GNOME ऍप्लिकेशन व्यवस्थापकाद्वारे समर्थित आहेत.

Flatpak 1.12 शाखेतील प्रमुख नवकल्पना:

• स्टीम गेम वितरण सेवेसाठी क्लायंटसह फ्लॅटपॅक पॅकेजमध्ये वापरल्या जाणार्‍या नेस्टेड सँडबॉक्स वातावरणाचे सुधारित व्यवस्थापन. नेस्टेड सँडबॉक्सेसमध्ये, /usr आणि /app डिरेक्टरीजच्या स्वतंत्र पदानुक्रमांच्या निर्मितीला परवानगी आहे, ज्याचा वापर स्टीम क्लायंटसह वातावरणापासून वेगळ्या असलेल्या स्वतःच्या /usr विभाजनासह वेगळ्या कंटेनरमध्ये गेम लॉन्च करण्यासाठी स्टीममध्ये केला जातो.
• समान ऍप्लिकेशन आयडेंटिफायर (ऍप-आयडी) असलेली सर्व पॅकेज उदाहरणे /tmp आणि $XDG_RUNTIME_DIR निर्देशिका सामायिक करतात. वैकल्पिकरित्या, “--allow=per-app-dev-shm” ध्वज वापरून, तुम्ही /dev/shm शेअर केलेल्या निर्देशिकेचा वापर सक्षम करू शकता.
• मजकूर वापरकर्ता इंटरफेस (TUI) अनुप्रयोगांसाठी सुधारित समर्थन जसे की gdb.
• आर्काइव्ह मोडमध्ये रिपॉझिटरीजसह काम करण्यासाठी ऑप्टिमाइझ केलेल्या बिल्ड-अपडेट-रेपो युटिलिटीमध्ये “ऑस्ट्री प्रून” कमांडची जलद अंमलबजावणी जोडली गेली आहे.
• seccomp नियमांमध्ये माउंटिंग विभाजनांशी संबंधित नवीन सिस्टम कॉल अवरोधित न करण्याशी संबंधित पोर्टल यंत्रणेच्या अंमलबजावणीमध्ये CVE-2021-41133 असुरक्षितता निश्चित केली गेली आहे. भेद्यतेमुळे ॲप्लिकेशनला "पोर्टल" पडताळणी यंत्रणा बायपास करण्यासाठी नेस्टेड सँडबॉक्स तयार करण्याची अनुमती दिली जी कंटेनरच्या बाहेरील संसाधनांमध्ये प्रवेश व्यवस्थापित करण्यासाठी वापरली जाते.

  परिणामी, आक्रमणकर्ता, माउंटिंग-संबंधित सिस्टम कॉल्स करून, सँडबॉक्स अलगाव यंत्रणा बायपास करू शकतो आणि होस्ट वातावरणातील सामग्रीमध्ये पूर्ण प्रवेश मिळवू शकतो. भेद्यतेचा उपयोग केवळ अशा पॅकेजेसमध्ये केला जाऊ शकतो जे अनुप्रयोगांना AF_UNIX सॉकेटमध्ये थेट प्रवेश प्रदान करतात, जसे की Wayland, Pipewire आणि pipewire-pulse द्वारे वापरलेले. रिलीज 1.12.0 मध्ये, भेद्यता पूर्णपणे काढून टाकली गेली नाही, म्हणून 1.12.1 अद्यतन त्याच्या टाचांवर गरम केले गेले.

आम्‍ही तुम्‍हाला स्मरण करून देऊ या की Flatpak अॅप्लिकेशन डेव्हलपर्सना त्‍यांच्‍या प्रोग्रॅमचे वितरण सुलभ करण्‍याची अनुमती देते जे मानक वितरण रेपॉजिटरीमध्‍ये समाविष्ट नसतात आणि प्रत्‍येक वितरणासाठी वेगळे असेंब्ली न बनवता एक सार्वत्रिक कंटेनर तयार करून. सुरक्षा-सजग वापरकर्त्यांसाठी, Flatpak तुम्हाला कंटेनरमध्ये संशयास्पद अॅप्लिकेशन चालवण्याची परवानगी देते, फक्त नेटवर्क फंक्शन्स आणि अॅप्लिकेशनशी संबंधित वापरकर्ता फाइल्समध्ये प्रवेश प्रदान करते. नवीन उत्पादनांमध्ये स्वारस्य असलेल्या वापरकर्त्यांसाठी, फ्लॅटपॅक तुम्हाला सिस्टममध्ये बदल न करता नवीनतम चाचणी आणि अॅप्लिकेशन्सचे स्थिर प्रकाशन स्थापित करण्याची परवानगी देते. उदाहरणार्थ, फ्लॅटपॅक पॅकेजेस LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio इत्यादींसाठी तयार केले आहेत.

पॅकेजचा आकार कमी करण्यासाठी, त्यात फक्त ॲप्लिकेशन-विशिष्ट अवलंबनांचा समावेश आहे, आणि मूलभूत प्रणाली आणि ग्राफिक्स लायब्ररी (GTK, Qt, GNOME आणि KDE लायब्ररी, इ.) प्लग-इन मानक रनटाइम वातावरण म्हणून डिझाइन केल्या आहेत. फ्लॅटपॅक आणि स्नॅपमधील महत्त्वाचा फरक असा आहे की स्नॅप मुख्य सिस्टम वातावरणातील घटक आणि फिल्टरिंग सिस्टम कॉलवर आधारित अलगाव वापरते, तर फ्लॅटपॅक सिस्टमपासून वेगळे कंटेनर तयार करते आणि मोठ्या रनटाइम सेटसह ऑपरेट करते, पॅकेजेस अवलंबित्व म्हणून प्रदान करत नाही, परंतु मानक म्हणून प्रदान करते. एक प्रणाली वातावरण (उदाहरणार्थ, GNOME किंवा KDE प्रोग्राम्सच्या ऑपरेशनसाठी आवश्यक असलेली सर्व लायब्ररी).

विशेष रेपॉजिटरीद्वारे स्थापित मानक सिस्टम वातावरण (रनटाइम) व्यतिरिक्त, अनुप्रयोगाच्या ऑपरेशनसाठी आवश्यक अतिरिक्त अवलंबन (बंडल) पुरवले जातात. एकूण, रनटाइम आणि बंडल कंटेनर भरतात, रनटाइम स्वतंत्रपणे स्थापित केला आहे आणि एकाच वेळी अनेक कंटेनरशी बांधला आहे, जे आपल्याला कंटेनरसाठी सामान्य सिस्टम फाइल्सची डुप्लिकेट करणे टाळण्याची परवानगी देते. एका प्रणालीमध्ये अनेक भिन्न रनटाइम स्थापित केले जाऊ शकतात (GNOME, KDE) किंवा एकाच रनटाइमच्या अनेक आवृत्त्या (GNOME 3.40, GNOME 3.42). अवलंबित्व म्‍हणून अॅप्लिकेशन असलेले कंटेनर रनटाइम तयार करणार्‍या वैयक्तिक पॅकेजेस विचारात न घेता, केवळ विशिष्ट रनटाइमसाठी बंधनकारक वापरते. सर्व गहाळ घटक थेट अनुप्रयोगासह पॅकेज केलेले आहेत. कंटेनर तयार झाल्यावर, रनटाइम सामग्री /usr विभाजन म्हणून माउंट केली जाते, आणि बंडल /app निर्देशिकेमध्ये माउंट केले जाते.

रनटाइम आणि ऍप्लिकेशन कंटेनर्स OSTree तंत्रज्ञान वापरून तयार केले जातात, ज्यामध्ये Git-सारख्या रिपॉझिटरीमधून प्रतिमा आण्विकरित्या अद्यतनित केली जाते, जे वितरण घटकांवर आवृत्ती नियंत्रण पद्धती लागू करण्यास अनुमती देते (उदाहरणार्थ, आपण सिस्टमला द्रुतपणे रोल बॅक करू शकता. मागील स्थिती). RPM पॅकेजेस विशेष rpm-ostree स्तर वापरून OSTree रेपॉजिटरीमध्ये अनुवादित केले जातात. कार्यरत वातावरणात पॅकेजेसची स्वतंत्र स्थापना आणि अद्यतन समर्थित नाही; सिस्टम वैयक्तिक घटकांच्या पातळीवर नाही तर संपूर्णपणे, अणूची स्थिती बदलून अद्यतनित केली जाते. प्रत्येक अपडेटसह प्रतिमा पूर्णपणे बदलण्याची गरज काढून टाकून, वाढत्या प्रमाणात अद्यतने लागू करण्यासाठी साधने प्रदान करते.

व्युत्पन्न केलेले पृथक वातावरण वापरलेल्या वितरणापासून पूर्णपणे स्वतंत्र आहे आणि पॅकेजच्या योग्य सेटिंग्जसह, वापरकर्त्याच्या किंवा मुख्य प्रणालीच्या फाइल्स आणि प्रक्रियांमध्ये प्रवेश नाही, DRI द्वारे आउटपुटचा अपवाद वगळता उपकरणांमध्ये थेट प्रवेश करू शकत नाही, आणि नेटवर्क सबसिस्टमला कॉल करते. ग्राफिक्स आउटपुट आणि इनपुट संस्था वेलँड प्रोटोकॉल वापरून किंवा X11 सॉकेट फॉरवर्डिंगद्वारे लागू केली जाते. बाह्य वातावरणाशी संवाद DBus संदेशन प्रणाली आणि विशेष पोर्टल API वर आधारित आहे.

पृथक्करणासाठी, cgroups, नेमस्पेसेस, Seccomp आणि SELinux च्या वापरावर आधारित, Bubblewrap लेयर आणि पारंपारिक Linux कंटेनर व्हर्च्युअलायझेशन तंत्रज्ञान वापरले जातात. ध्वनी आउटपुट करण्यासाठी PulseAudio चा वापर केला जातो. या प्रकरणात, अलगाव अक्षम केला जाऊ शकतो, ज्याचा वापर अनेक लोकप्रिय पॅकेजेसच्या विकसकांद्वारे फाइल सिस्टम आणि सिस्टममधील सर्व डिव्हाइसेसमध्ये पूर्ण प्रवेश मिळविण्यासाठी केला जातो. उदाहरणार्थ, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity आणि VLC मर्यादित आयसोलेशन मोडसह येतात जे होम डिरेक्टरीमध्ये पूर्ण प्रवेश सोडतात.

पॅकेजच्या वर्णनामध्ये “सँडबॉक्स्ड” लेबल असूनही, होम डिरेक्ट्रीमध्ये प्रवेश असलेल्या पॅकेजमध्ये तडजोड केली असल्यास, आक्रमणकर्त्याला त्याचा कोड कार्यान्वित करण्यासाठी फक्त ~/.bashrc फाइल बदलण्याची आवश्यकता आहे. एक वेगळी समस्या म्हणजे पॅकेजमधील बदलांचे नियंत्रण आणि पॅकेज बिल्डर्सवर विश्वास ठेवणे, जे सहसा मुख्य प्रकल्प किंवा वितरणाशी संबंधित नसतात.

स्त्रोत: opennet.ru