Michael Catanzaro, een van de ontwikkelaars van de webbrowser Epiphany (GNOME Web) en betrokken bij projecten van GNOME en Fedora, heeft voorgesteld om de gebruik van de FlatHub-catalogus in Fedora Linux te heroverwegen. In de atomair bijgewerkte versie van Fedora Workstation wordt voorgesteld om standaard de FlatHub-catalogus te gebruiken voor flatpak-pakketten die door gebruikers worden geïnstalleerd, terwijl de eigen flatpak-pakketrepository beperkt blijft tot het gebruik voor voorgeïnstalleerde pakketten.
Momenteel wordt in Fedora standaard de eigen flatpak-repository aangeboden, waarvan de inhoud is samengesteld uit herbouwde rpm-pakketten. Standaard kunnen pakketten uit FlatHub alleen worden ingeschakeld na installatie, door de optie 'Enable Third-Party Repositories' in de GNOME-applicatiemanagers te activeren, maar zelfs dan hebben de pakketten uit de Fedora-repository een hogere prioriteit.
Volgens Michael zou de meerderheid van de gebruikers de voorkeur geven aan het installeren van pakketten uit de FlatHub-catalogus, die zijn samengesteld door de belangrijkste ontwikkelaars van toepassingen, in plaats van door de Fedora-ondersteuners (80% van de deelnemers aan de discussie stemde voor het gebruik van FlatHub). Het wordt verondersteld dat applicatieontwikkelaars beter op de hoogte zijn van de details van hun projecten en flatpak-pakketten samenstellen die beter getest zijn door de gemeenschap. Ondertussen zijn de bijbehorende rpm-pakketten in Fedora niet geïnteresseerd in het onderhouden van de flatpak-pakketvarianten en besteden ze niet de nodige aandacht aan foutmeldingen in dergelijke pakketten, wat leidt tot een lagere kwaliteit van de flatpak-pakketten van Fedora in vergelijking met die van de belangrijke projecten op FlatHub.
Veel gebruikers zijn zich er niet van bewust dat als ze een flatpak-pakket via de Fedora-applicatiemanagers installeren, dit niet uit FlatHub wordt geïnstalleerd zoals in andere distributies, maar uit de Fedora-repository, waarvan de pakketten verschillen van de versies in FlatHub. Hierdoor worden problemen die specifiek zijn voor de pakketten uit de Fedora-repository waargenomen als problemen in de officiële pakketten van FlatHub en worden klachten gericht aan de belangrijkste ontwikkelaars in plaats van aan de Fedora-ondersteuners. Bijvoorbeeld, de levering van het problematische flatpak-pakket OBS Studio in Fedora, dat een hogere prioriteit had dan het pakket uit FlatHub, leidde in februari tot een conflict met het OBS Studio-project.
De toekomst van Fedora Workstation wordt gezien als een atomair te updaten distributie, waardoor het beter is om de overstap naar FlatHub niet uit te stellen. Het gebruik van een eigen Flatpak-repository is noodzakelijk om te kunnen bouwen in een betrouwbare omgeving. Voor de pakketten in FlatHub, zelfs als we alleen naar gevalideerde pakketten kijken, waarvoor de belangrijkste projecten verantwoordelijk zijn, wordt de bouw uitgevoerd in externe infrastructuren waarvan de veiligheid twijfelachtig kan zijn.
De voordelen van het onderhouden van een eigen repository in Fedora zijn onder andere de garanties dat het pakket is opgebouwd uit de opgegeven broncode en alleen componenten bevat die onder open licenties vallen, goedgekeurd voor gebruik door Fedora. Pakketten in de Fedora-repository kunnen ook patches bevatten die alleen beschikbaar zijn voor RPM-pakketten in Fedora en nog niet zijn aangenomen in de hoofdcodebasis van de projecten.
Het voorstel van Michael houdt in dat er standaard ondersteuning voor het installeren van pakketten uit FlatHub, die zich in de categorie 'vrije software' bevinden, wordt opgenomen in de atomare editie van Fedora Workstation. De mogelijkheid om uit FlatHub te installeren heeft alleen betrekking op pakketten die door gebruikers via de GNOME Software-applicatiebeheerder worden geïnstalleerd. Alle standaard vooraf geïnstalleerde flatpak-pakketten blijven worden gedownload vanuit de eigen repository van Fedora, maar voor niet-standaard pakketten wordt voorgesteld om FlatHub als downloadbron te gebruiken.
Voor de overstap naar FlatHub wordt voorgesteld om samen de mogelijkheden voor het bouwen van pakketten in een betrouwbare infrastructuur te implementeren en reproduceerbare builds te verifiëren. Daarnaast moet het probleem worden opgelost met het gebruik van verouderde versies van Flatpak Runtime in de pakketten, waarvoor de updates voor kwetsbaarheden al zijn stopgezet. Momenteel gebruiken 994 van de 3438 (bijna een derde) gevalideerde pakketten uit FlatHub verouderde Runtime. Veiligheidsproblemen ontstaan ook door verouderde interne afhankelijkheden die in de pakketten zijn opgenomen en door onvoldoende maatregelen voor sandbox-isolatie (sommige ontwikkelaars schakelen beschermingsmodi uit).
Naast Michael heeft ook Timothée Ravier een vergelijkbaar voorstel gedaan: in Fedora 43 wordt voorgesteld om de levering van vooraf geïnstalleerde flatpak-pakketten uit de Fedora-repository voort te zetten, maar een filter toe te voegen dat de installatie van geselecteerde goedgekeurde applicaties uit FlatHub toestaat. De voordelen van de voorgestelde oplossing omvatten het verminderen van verwarring bij gebruikers en ontwikkelaars van de belangrijkste projecten (ontwikkelaars moeten foutmeldingen ontleden die specifiek zijn voor de Flatpak-pakketten van Fedora, terwijl ze ten onrechte worden verstuurd als zijnde aanwezig in het officiële flatpak-pakket). Deze wijziging zal ook de druk op de begeleiders verlichten en hen in staat stellen zich te concentreren op het doorgeven van correcties aan de belangrijkste projecten en het testen van vooraf geïnstalleerde Flatpak-pakketten.
Bron: opennet.ru
