आत्म-पर्याप्त प्याकेजहरूको प्रणालीको रिलीज Flatpak 1.12.0

Flatpak 1.12 टूलकिटको नयाँ स्थिर शाखा प्रकाशित गरिएको छ, जसले विशेष लिनक्स वितरणमा बाँधिएको र प्रणालीको बाँकी भागबाट अनुप्रयोगलाई अलग गर्ने विशेष कन्टेनरमा चल्ने आत्म-निहित प्याकेजहरू निर्माण गर्न प्रणाली प्रदान गर्दछ। Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux र Ubuntu को लागि Flatpak प्याकेजहरू चलाउनको लागि समर्थन प्रदान गरिएको छ। Flatpak प्याकेजहरू Fedora भण्डारमा समावेश गरिएका छन् र नेटिभ GNOME अनुप्रयोग प्रबन्धकद्वारा समर्थित छन्।

Flatpak 1.12 शाखामा प्रमुख आविष्कारहरू:

• स्टीम खेल डेलिभरी सेवाको लागि ग्राहकसँग फ्ल्याटप्याक प्याकेजमा प्रयोग गरिएको नेस्टेड स्यान्डबक्स वातावरणको सुधारिएको व्यवस्थापन। नेस्टेड स्यान्डबक्सहरूमा, /usr र / एप डाइरेक्टरीहरूको छुट्टै पदानुक्रमहरू सिर्जना गर्न अनुमति दिइन्छ, जुन स्टीम क्लाइन्टको साथ वातावरणबाट अलग गरिएको आफ्नै /usr विभाजनको साथ छुट्टै कन्टेनरमा खेलहरू सुरु गर्न स्टीममा प्रयोग गरिन्छ।
• एउटै अनुप्रयोग पहिचानकर्ता (एप-आईडी) सँग सबै प्याकेज उदाहरणहरूले /tmp र $XDG_RUNTIME_DIR डाइरेक्टरीहरू साझेदारी गर्छन्। वैकल्पिक रूपमा, "--allow=per-app-dev-shm" फ्ल्याग प्रयोग गरेर, तपाईंले /dev/shm साझा निर्देशिकाको प्रयोग सक्षम गर्न सक्नुहुन्छ।
• पाठ प्रयोगकर्ता इन्टरफेस (TUI) अनुप्रयोगहरू जस्तै gdb को लागि सुधारिएको समर्थन।
• "ostree prune" आदेशको द्रुत कार्यान्वयनलाई अभिलेख मोडमा भण्डारहरूसँग काम गर्नका लागि अनुकूलित, बिल्ड-अपडेट-रेपो उपयोगितामा थपिएको छ।
• पोर्टल संयन्त्रको कार्यान्वयनमा CVE-2021-41133 को कमजोरी, seccomp नियमहरूमा माउन्ट पार्टिसनहरूसँग सम्बन्धित नयाँ प्रणाली कलहरू ब्लक गर्ने अभावसँग सम्बन्धित छ। भेद्यताले एपलाई "पोर्टल" प्रमाणीकरण संयन्त्रलाई बाइपास गर्न नेस्टेड स्यान्डबक्स सिर्जना गर्न अनुमति दियो जुन कन्टेनर बाहिरका स्रोतहरूमा पहुँच व्यवस्थित गर्न प्रयोग गरिन्छ।

  नतिजाको रूपमा, आक्रमणकारीले माउन्टिङ-सम्बन्धित प्रणाली कलहरू प्रदर्शन गरेर, स्यान्डबक्स अलगाव संयन्त्रलाई बाइपास गर्न र होस्ट वातावरणको सामग्रीहरूमा पूर्ण पहुँच प्राप्त गर्न सक्छ। वेल्यान्ड, पाइपवायर, र पाइपवायर-पल्सले प्रयोग गर्ने जस्ता AF_UNIX सकेटहरूमा सिधा पहुँच प्रदान गर्ने प्याकेजहरूमा भेद्यताको शोषण गर्न सकिन्छ। रिलीज 1.12.0 मा, जोखिम पूर्ण रूपमा हटाइएको थिएन, त्यसैले 1.12.1 अपडेट यसको हिल्समा तातो जारी गरिएको थियो।

हामी तपाईंलाई सम्झना गरौं कि Flatpak ले अनुप्रयोग विकासकर्ताहरूलाई तिनीहरूका कार्यक्रमहरूको वितरण सरलीकृत गर्न अनुमति दिन्छ जुन मानक वितरण भण्डारहरूमा समावेश छैन प्रत्येक वितरणको लागि छुट्टै सम्मेलनहरू सिर्जना नगरी एउटा विश्वव्यापी कन्टेनर तयार गरेर। सुरक्षा-सचेत प्रयोगकर्ताहरूका लागि, Flatpak ले तपाईंलाई कन्टेनरमा शंकास्पद अनुप्रयोग चलाउन अनुमति दिन्छ, नेटवर्क प्रकार्यहरू र अनुप्रयोगसँग सम्बन्धित प्रयोगकर्ता फाइलहरूमा मात्र पहुँच प्रदान गर्दछ। नयाँ उत्पादनहरूमा रुचि राख्ने प्रयोगकर्ताहरूका लागि, Flatpak ले तपाईंलाई प्रणालीमा परिवर्तनहरू नगरीकन नवीनतम परीक्षण र अनुप्रयोगहरूको स्थिर रिलीजहरू स्थापना गर्न अनुमति दिन्छ। उदाहरणका लागि, Flatpak प्याकेजहरू LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 AD, Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, आदिका लागि बनाइएका छन्।

प्याकेज साइज घटाउनको लागि, यसले केवल अनुप्रयोग-विशेष निर्भरताहरू समावेश गर्दछ, र आधारभूत प्रणाली र ग्राफिक्स पुस्तकालयहरू (GTK, Qt, GNOME र KDE पुस्तकालयहरू, आदि) प्लग-इन मानक रनटाइम वातावरणको रूपमा डिजाइन गरिएका छन्। Flatpak र Snap बीचको मुख्य भिन्नता यो हो कि Snap ले मुख्य प्रणाली वातावरणका कम्पोनेन्टहरू र फिल्टरिङ प्रणाली कलहरूमा आधारित आइसोलेसन प्रयोग गर्दछ, जबकि Flatpak ले प्रणालीबाट अलग कन्टेनर सिर्जना गर्दछ र ठूलो रनटाइम सेटहरूसँग सञ्चालन गर्दछ, प्याकेजहरूलाई निर्भरताको रूपमा प्रदान गर्दैन, तर मानक प्रदान गर्दछ। ones प्रणाली वातावरण (उदाहरणका लागि, GNOME वा KDE कार्यक्रमहरू सञ्चालनका लागि आवश्यक सबै पुस्तकालयहरू)।

मानक प्रणाली वातावरण (रनटाइम) को अतिरिक्त, एक विशेष भण्डार मार्फत स्थापित, अतिरिक्त निर्भरताहरू (बन्डल) अनुप्रयोगको सञ्चालनको लागि आवश्यक आपूर्ति गरिन्छ। कुलमा, रनटाइम र बन्डलले कन्टेनरको भरण बनाउँदछ, रनटाइम अलग-अलग स्थापना गरिएको छ र एकै पटक धेरै कन्टेनरहरूमा बाँधिएको छ, जसले तपाईंलाई कन्टेनरहरूमा सामान्य प्रणाली फाइलहरू नक्कल गर्नबाट बच्न अनुमति दिन्छ। एउटा प्रणालीमा धेरै फरक रनटाइमहरू (GNOME, KDE) वा एउटै रनटाइम (GNOME 3.40, GNOME 3.42) को धेरै संस्करणहरू स्थापित हुन सक्छन्। निर्भरताको रूपमा एप्लिकेसन भएको कन्टेनरले रनटाइम बनाउने व्यक्तिगत प्याकेजहरूलाई ध्यानमा नराखी एक निश्चित रनटाइममा मात्र बाइन्डिङ प्रयोग गर्दछ। सबै छुटेका तत्वहरू अनुप्रयोगसँग सीधा प्याकेज गरिएका छन्। जब कन्टेनर बनाइन्छ, रनटाइम सामग्रीहरू /usr विभाजनको रूपमा माउन्ट गरिन्छ, र बन्डल / एप डाइरेक्टरीमा माउन्ट गरिन्छ।

रनटाइम र एप्लिकेसन कन्टेनरहरू OSTree टेक्नोलोजी प्रयोग गरेर बनाइएका छन्, जसमा छविलाई Git-जस्तो भण्डारबाट आणविक रूपमा अद्यावधिक गरिएको छ, जसले संस्करण नियन्त्रण विधिहरूलाई वितरण कम्पोनेन्टहरूमा लागू गर्न अनुमति दिन्छ (उदाहरणका लागि, तपाइँ प्रणालीलाई द्रुत रूपमा रोल ब्याक गर्न सक्नुहुन्छ। अघिल्लो अवस्था)। RPM प्याकेजहरू विशेष rpm-ostree तह प्रयोग गरेर OSTree भण्डारमा अनुवाद गरिन्छ। काम गर्ने वातावरण भित्र प्याकेजहरूको अलग स्थापना र अद्यावधिक समर्थित छैन; प्रणाली व्यक्तिगत कम्पोनेन्टको स्तरमा अद्यावधिक गरिएको छैन, तर समग्र रूपमा, परमाणु रूपमा यसको अवस्था परिवर्तन गर्दै। प्रत्येक अपडेटको साथ छविलाई पूर्ण रूपमा प्रतिस्थापन गर्ने आवश्यकतालाई हटाउँदै, बढ्दो रूपमा अद्यावधिकहरू लागू गर्न उपकरणहरू प्रदान गर्दछ।

उत्पन्न गरिएको पृथक वातावरण प्रयोग गरिएको वितरणबाट पूर्ण रूपमा स्वतन्त्र छ र, उचित प्याकेज सेटिङहरूसँग, प्रयोगकर्ता वा मुख्य प्रणालीका फाइलहरू र प्रक्रियाहरूमा पहुँच छैन, र DRI र कलहरू मार्फत आउटपुटको अपवाद बाहेक, उपकरणहरूमा सीधै पहुँच गर्न सक्दैन। नेटवर्क उपप्रणालीमा। ग्राफिक्स आउटपुट र इनपुट संगठन Wayland प्रोटोकल वा X11 सकेट फर्वार्डिङ मार्फत लागू गरिन्छ। बाह्य वातावरण संग अन्तरक्रिया DBus सन्देश प्रणाली र एक विशेष पोर्टल API मा आधारित छ।

अलगावको लागि, बबलव्र्याप तह र परम्परागत लिनक्स कन्टेनर भर्चुअलाइजेशन प्रविधिहरू प्रयोग गरिन्छ, cgroups, नेमस्पेस, Seccomp र SELinux को प्रयोगमा आधारित। PulseAudio ध्वनि आउटपुट गर्न प्रयोग गरिन्छ। यस अवस्थामा, अलगाव असक्षम गर्न सकिन्छ, जुन धेरै लोकप्रिय प्याकेजहरूको विकासकर्ताहरूले फाइल प्रणाली र प्रणालीमा सबै यन्त्रहरूमा पूर्ण पहुँच प्राप्त गर्न प्रयोग गर्दछ। उदाहरणका लागि, GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity, र VLC सीमित अलगाव मोडको साथ आउँछन् जसले गृह निर्देशिकामा पूर्ण पहुँच छोड्छ।

यदि प्याकेज विवरणमा "स्यान्डबक्स गरिएको" लेबलको उपस्थितिको बावजुद, गृह डाइरेक्टरीमा पहुँच भएका प्याकेजहरू सम्झौता गरिएका छन् भने, आक्रमणकर्ताले आफ्नो कोड कार्यान्वयन गर्न ~/.bashrc फाइल मात्र परिवर्तन गर्न आवश्यक छ। एउटा छुट्टै मुद्दा प्याकेजहरूमा परिवर्तनहरूको नियन्त्रण र प्याकेज निर्माणकर्ताहरूमा विश्वास हो, जो प्रायः मुख्य परियोजना वा वितरणसँग सम्बन्धित छैनन्।

स्रोत: opennet.ru