Opublikowano now\u0105 stabiln\u0105 wersj\u0119 narz\u0119dzi Flatpak 1.12, kt\u00f3re oferuj\u0105 system do budowy samodzielnych pakiet\u00f3w, niezwi\u0105zanych z konkretnymi dystrybucjami Linuksa i uruchamianych w specjalnym kontenerze, izoluj\u0105cym aplikacj\u0119 od reszty systemu. Wsparcie dla uruchamiania pakiet\u00f3w Flatpak dost\u0119pne jest dla Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux i Ubuntu. Pakiety Flatpak zosta\u0142y w\u0142\u0105czone do repozytorium Fedora i s\u0105 wspierane w standardowej aplikacji do zarz\u0105dzania aplikacjami GNOME. <\/p>\n
Kluczowe nowo\u015bci w wersji Flatpak 1.12: <\/p>\n
Ostatecznie, atakuj\u0105cy poprzez wykonywanie powi\u0105zanych z montowaniem wywo\u0142a\u0144 systemowych m\u00f3g\u0142 obej\u015b\u0107 mechanizm izolacji sandboxu i uzyska\u0107 pe\u0142ny dost\u0119p do zawarto\u015bci \u015brodowiska hosta. Wykorzystanie podatno\u015bci jest mo\u017cliwe tylko w pakietach, kt\u00f3re zapewniaj\u0105 aplikacjom bezpo\u015bredni dost\u0119p do gniazd AF_UNIX, kt\u00f3re s\u0105 u\u017cywane na przyk\u0142ad w Wayland, Pipewire i pipewire-pulse. W wersji 1.12.0 podatno\u015b\u0107 zosta\u0142a usuni\u0119ta nie ca\u0142kowicie, dlatego niezw\u0142ocznie wydano aktualizacj\u0119 1.12.1. <\/ul>\n
Przypomnijmy, \u017ce programi\u015bci aplikacji Flatpak maj\u0105 mo\u017cliwo\u015b\u0107 uproszczenia dystrybucji swoich program\u00f3w, kt\u00f3re nie s\u0105 cz\u0119\u015bci\u0105 standardowych repozytori\u00f3w dystrybucji, dzi\u0119ki przygotowaniu jednego uniwersalnego kontenera bez potrzeby tworzenia oddzielnych kompilacji dla ka\u017cdej dystrybucji. U\u017cytkownikom, kt\u00f3rzy dbaj\u0105 o bezpiecze\u0144stwo, Flatpak pozwala na uruchomienie budz\u0105cej w\u0105tpliwo\u015bci aplikacji w kontenerze, udost\u0119pniaj\u0105c dost\u0119p tylko do funkcji sieciowych i plik\u00f3w u\u017cytkownika zwi\u0105zanych z aplikacj\u0105. U\u017cytkownikom zainteresowanym nowinkami, Flatpak umo\u017cliwia instalacj\u0119 najnowszych wersji testowych i stabilnych aplikacji bez potrzeby wprowadzania zmian w systemie. Na przyk\u0142ad, pakiety Flatpak s\u0105 tworzone dla LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio itd. <\/p>\n
Aby zmniejszy\u0107 rozmiar pakietu, zawiera on tylko specyficzne dla aplikacji zale\u017cno\u015bci, podczas gdy podstawowe biblioteki systemowe i graficzne (GTK, Qt, biblioteki GNOME i KDE itd.) s\u0105 przedstawione jako modu\u0142owe standardowe \u015brodowiska uruchomieniowe. Kluczow\u0105 r\u00f3\u017cnic\u0105 mi\u0119dzy Flatpak a Snap jest to, \u017ce Snap wykorzystuje komponenty \u015brodowiska g\u0142\u00f3wnego systemu i izolacj\u0119 opart\u0105 na filtracji wywo\u0142a\u0144 systemowych, podczas gdy Flatpak tworzy osobny kontener od systemu i operuje na du\u017cych zestawach \u015brodowisk uruchomieniowych, udost\u0119pniaj\u0105c jako zale\u017cno\u015bci nie pakiety, lecz standardowe \u015brodowiska systemowe (na przyk\u0142ad wszystkie biblioteki niezb\u0119dne do dzia\u0142ania program\u00f3w GNOME lub KDE). <\/p>\n
Opr\u00f3cz typowego \u015brodowiska systemowego (runtime), instalowanego za po\u015brednictwem specjalnego repozytorium, dostarczane s\u0105 dodatkowe zale\u017cno\u015bci (bundle), wymagane do dzia\u0142ania aplikacji. W sumie runtime i bundle tworz\u0105 zawarto\u015b\u0107 kontenera, przy czym runtime jest instalowany oddzielnie i jest powi\u0105zany z wieloma kontenerami, co pozwala unikn\u0105\u0107 duplikowania wsp\u00f3lnych dla kontener\u00f3w plik\u00f3w systemowych. W jednym systemie mo\u017ce by\u0107 zainstalowanych kilka r\u00f3\u017cnych runtime'\u00f3w (GNOME, KDE) lub kilka wersji jednego runtime'u (GNOME 3.40, GNOME 3.42). Kontener z aplikacj\u0105 jako zale\u017cno\u015bci\u0105 wykorzystuje powi\u0105zanie tylko z okre\u015blonym runtime, bez uwzgl\u0119dniania pojedynczych pakiet\u00f3w, z kt\u00f3rych sk\u0142ada si\u0119 runtime. Wszystkie brakuj\u0105ce elementy s\u0105 pakowane bezpo\u015brednio razem z aplikacj\u0105. Podczas tworzenia kontenera zawarto\u015b\u0107 runtime jest montowana jako lokalizacja \/usr, a bundle montowane jest w katalogu \/app. <\/p>\n
Zawarto\u015b\u0107 runtime i kontener\u00f3w aplikacji jest tworzona z wykorzystaniem technologii OSTree, w kt\u00f3rej obraz atomowo aktualizowany jest z repozytorium podobnego do Git, co pozwala stosowa\u0107 metody kontroli wersji do komponent\u00f3w dystrybucji (na przyk\u0142ad mo\u017cna szybko przywr\u00f3ci\u0107 system do poprzedniego stanu). Pakiety RPM s\u0105 t\u0142umaczone do repozytorium OSTree za pomoc\u0105 specjalnej warstwy rpm-ostree. Oddzielna instalacja i aktualizacja pakiet\u00f3w wewn\u0105trz \u015brodowiska roboczego nie jest wspierana, system aktualizowany jest nie na poziomie pojedynczych komponent\u00f3w, ale w ca\u0142o\u015bci, atomowo zmieniaj\u0105c swoje stany. Dostarczane s\u0105 narz\u0119dzia do inkrementalnego stosowania aktualizacji, eliminuj\u0105ce potrzeb\u0119 pe\u0142nej wymiany obrazu przy ka\u017cdej aktualizacji. <\/p>\n
Tworzone izolowane \u015brodowisko jest ca\u0142kowicie niezale\u017cne od u\u017cywanej dystrybucji i przy odpowiednich ustawieniach pakietu nie ma dost\u0119pu do plik\u00f3w i proces\u00f3w u\u017cytkownika lub systemu g\u0142\u00f3wnego, nie mo\u017ce bezpo\u015brednio \u0142\u0105czy\u0107 si\u0119 z urz\u0105dzeniem, z wyj\u0105tkiem wyj\u015bcia przez DRI, oraz po\u0142\u0105cze\u0144 z systemem sieciowym. Wyj\u015bcie grafiki i organizacja wej\u015bcia s\u0105 realizowane za pomoc\u0105 protoko\u0142u Wayland lub przez przekazywanie gniazda X11. Interakcja z otoczeniem opiera si\u0119 na systemie wymiany komunikat\u00f3w DBus i specjalnym API Portals. <\/p>\n
Do izolacji wykorzystuje si\u0119 warstw\u0119 Bubblewrap oraz tradycyjne technologie konteneryzacji w systemie Linux, oparte na u\u017cyciu cgroups, przestrzeni nazw (namespaces), Seccomp i SELinux. Do wyprowadzania d\u017awi\u0119ku stosuje si\u0119 PulseAudio. Przy tym izolacj\u0119 mo\u017cna wy\u0142\u0105czy\u0107, co wykorzystuj\u0105 deweloperzy wielu popularnych pakiet\u00f3w, aby uzyska\u0107 pe\u0142ny dost\u0119p do systemu plik\u00f3w i wszystkich urz\u0105dze\u0144 w systemie. Na przyk\u0142ad pakiety GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity i VLC s\u0105 dostarczane z ograniczonym trybem izolacji, kt\u00f3ry pozostawia pe\u0142ny dost\u0119p do katalogu domowego. <\/p>\n