Michael Catanzaro, een van de ontwikkelaars van de webbrowser Epiphany (GNOME Web) en betrokken bij projecten van GNOME en Fedora, heeft voorgesteld om de gebruik van de FlatHub-catalogus in Fedora Linux te heroverwegen. In de atomair bijgewerkte versie van Fedora Workstation wordt voorgesteld om standaard de FlatHub-catalogus te gebruiken voor flatpak-pakketten die door gebruikers worden ge\u00efnstalleerd, terwijl de eigen flatpak-pakketrepository beperkt blijft tot het gebruik voor voorge\u00efnstalleerde pakketten. <\/p>\n
Momenteel biedt Fedora standaard een eigen flatpak-repository, waarvan de inhoud is opgebouwd uit het opnieuw bouwen van rpm-pakketten. Standaard kan het downloaden van pakketten van FlatHub alleen worden ingeschakeld na installatie, door de optie 'Enable Third-Party Repositories' in de GNOME Software-manager te activeren, maar zelfs in dat geval hebben de pakketten uit de Fedora-repository een hogere prioriteit. <\/p>\n
Volgens Michael zou de meerderheid van de gebruikers de voorkeur geven aan het installeren van pakketten uit de FlatHub-catalogus, die zijn samengesteld door de belangrijkste ontwikkelaars van toepassingen, in plaats van door de Fedora-ondersteuners (80% van de deelnemers aan de discussie stemde voor het gebruik van FlatHub). Het wordt verondersteld dat applicatieontwikkelaars beter op de hoogte zijn van de details van hun projecten en flatpak-pakketten samenstellen die beter getest zijn door de gemeenschap. Ondertussen zijn de bijbehorende rpm-pakketten in Fedora niet ge\u00efnteresseerd in het onderhouden van de flatpak-pakketvarianten en besteden ze niet de nodige aandacht aan foutmeldingen in dergelijke pakketten, wat leidt tot een lagere kwaliteit van de flatpak-pakketten van Fedora in vergelijking met die van de belangrijke projecten op FlatHub. <\/p>\n
Veel gebruikers zijn zich er niet van bewust dat als ze een flatpak-pakket via de Fedora-applicatiemanagers installeren, dit niet uit FlatHub wordt ge\u00efnstalleerd zoals in andere distributies, maar uit de Fedora-repository, waarvan de pakketten verschillen van de versies in FlatHub. Hierdoor worden problemen die specifiek zijn voor de pakketten uit de Fedora-repository waargenomen als problemen in de offici\u00eble pakketten van FlatHub en worden klachten gericht aan de belangrijkste ontwikkelaars in plaats van aan de Fedora-ondersteuners. Bijvoorbeeld, de levering van het problematische flatpak-pakket OBS Studio in Fedora, dat een hogere prioriteit had dan het pakket uit FlatHub, leidde in februari tot een conflict met het OBS Studio-project. <\/p>\n
De toekomst van Fedora Workstation wordt gezien als een atomair te updaten distributie, waardoor het beter is om de overstap naar FlatHub niet uit te stellen. Het gebruik van een eigen Flatpak-repository is noodzakelijk om te kunnen bouwen in een betrouwbare omgeving. Voor de pakketten in FlatHub, zelfs als we alleen naar gevalideerde pakketten kijken, waarvoor de belangrijkste projecten verantwoordelijk zijn, wordt de bouw uitgevoerd in externe infrastructuren waarvan de veiligheid twijfelachtig kan zijn. <\/p>\n
De voordelen van het onderhouden van een eigen repository in Fedora zijn onder andere de garanties dat het pakket is opgebouwd uit de opgegeven broncode en alleen componenten bevat die onder open licenties vallen, goedgekeurd voor gebruik door Fedora. Pakketten in de Fedora-repository kunnen ook patches bevatten die alleen beschikbaar zijn voor RPM-pakketten in Fedora en nog niet zijn aangenomen in de hoofdcodebasis van de projecten. <\/p>\n
Het voorstel van Michael houdt in dat de ondersteuning voor het installeren van pakketten van FlatHub, die vallen onder de categorie 'vrije software', standaard wordt opgenomen in de atomic-editie van Fedora Workstation. De mogelijkheid om van FlatHub te installeren is alleen van toepassing op pakketten die door gebruikers via de GNOME Software-manager worden ge\u00efnstalleerd. Alle standaard vooraf ge\u00efnstalleerde flatpak-pakketten blijven worden gedownload uit de eigen Fedora-repository, maar voor niet-standaard pakketten wordt voorgesteld om FlatHub als bron voor downloads te gebruiken. <\/p>\n
Voor de overstap naar FlatHub wordt voorgesteld om samen de mogelijkheden voor het bouwen van pakketten in een betrouwbare infrastructuur te implementeren en reproduceerbare builds te verifi\u00ebren. Daarnaast moet het probleem worden opgelost met het gebruik van verouderde versies van Flatpak Runtime in de pakketten, waarvoor de updates voor kwetsbaarheden al zijn stopgezet. Momenteel gebruiken 994 van de 3438 (bijna een derde) gevalideerde pakketten uit FlatHub verouderde Runtime. Veiligheidsproblemen ontstaan ook door verouderde interne afhankelijkheden die in de pakketten zijn opgenomen en door onvoldoende maatregelen voor sandbox-isolatie (sommige ontwikkelaars schakelen beschermingsmodi uit). <\/p>\n