Michael Catanzaro, um dos desenvolvedores do navegador web Epiphany (GNOME Web), que participa em projetos do GNOME e Fedora, sugeriu revisar o uso do catálogo FlatHub no Fedora Linux. Na edição atômica atualizável do Fedora Workstation, foi proposto que o catálogo FlatHub para pacotes flatpak seja utilizado por padrão, enquanto que o repositório próprio de pacotes flatpak seja restrito apenas a pacotes pré-instalados.
Atualmente, o Fedora oferece por padrão seu próprio repositório flatpak, cujo conteúdo é gerado a partir da recompilação de pacotes rpm. A instalação de pacotes do FlatHub só pode ser ativada após a instalação, habilitando a opção 'Ativar Repositórios de Terceiros' no gerenciador de aplicativos GNOME, mas mesmo assim, os pacotes do repositório Fedora têm prioridade maior.
Na opinião de Michael, a maioria dos usuários preferiria instalar pacotes do catálogo FlatHub, coletados pelos desenvolvedores principais das aplicações, em vez de pelos mantenedores do Fedora (80% dos participantes da discussão se manifestaram a favor do uso do FlatHub). Acredita-se que os desenvolvedores de aplicações conhecem melhor as nuances de seus projetos e coletam pacotes flatpak que funcionam de forma mais eficiente, melhor testados pela comunidade. Enquanto isso, os pacotes rpm do Fedora não demonstram interesse em manter versões dos pacotes no formato flatpak e não prestam a devida atenção às mensagens de erro nesses pacotes, resultando em uma qualidade inferior dos pacotes flatpak do Fedora em comparação aos pacotes hospedados no FlatHub pelos principais projetos.
Muitos usuários não sabem que ao instalar um pacote flatpak através do gerenciador de aplicativos Fedora, ele é instalado não do FlatHub, como em outras distribuições, mas do repositório Fedora, cujos pacotes são diferentes das versões do FlatHub. Devido a isso, problemas específicos dos pacotes do repositório Fedora são percebidos como problemas nos pacotes oficiais do FlatHub, e as reclamações são dirigidas aos desenvolvedores principais, e não aos mantenedores do Fedora. Por exemplo, a entrega do pacote flatpak problemático OBS Studio no Fedora, que era considerado de maior prioridade em relação ao pacote do FlatHub, levou a um conflito com o projeto OBS Studio em fevereiro.
Observa-se que o futuro do Fedora Workstation é visto como uma distribuição atualizável de forma atômica, portanto, é melhor não atrasar a transição para o FlatHub. O uso de um repositório Flatpak próprio é devido à necessidade de compilar em um ambiente confiável. Para os pacotes no FlatHub, mesmo quando se consideram apenas os pacotes verificados, cuja publicação é da responsabilidade dos projetos principais, a compilação é realizada em infraestruturas externas, cuja segurança pode ser questionável.
Entre as vantagens de manter um repositório próprio no Fedora estão as garantias de que o pacote foi compilado a partir do código fonte declarado e contém apenas componentes sob licenças abertas, aprovadas para uso pelo Fedora. Os pacotes no repositório do Fedora também podem incluir patches disponíveis apenas para pacotes RPM no Fedora e que ainda não foram aceitos na base de código principal dos projetos.
A proposta de Michael consiste em incluir por padrão na edição atômica do Fedora Workstation o suporte para instalação de pacotes do FlatHub, que estão na categoria de ‘software livre’. A possibilidade de instalação a partir do FlatHub se aplicará apenas aos pacotes instalados pelos usuários através do gerenciador de aplicativos GNOME Software. Todos os pacotes flatpak pré-instalados continuarão a ser baixados do repositório próprio do Fedora, mas para pacotes que não são utilizados por padrão, será sugerido utilizar o FlatHub como fonte de download.
Antes da transição para o FlatHub, propõe-se implementar em conjunto no FlatHub as capacidades de construção de pacotes em uma infraestrutura confiável e realizar verificações baseadas em compilações reproduzíveis. Além disso, deve-se resolver a questão da utilização de versões desatualizadas do Flatpak Runtime nos pacotes, para as quais já foi interrompida a transferência de correções de vulnerabilidades. Atualmente, 994 dos 3438 (quase um terço) dos pacotes verificados do FlatHub utilizam Runtimes desatualizados. Problemas de segurança também surgem devido a dependências internas desatualizadas incluídas nos pacotes e à aplicação de medidas insuficientes de isolamento sandbox (desenvolvedores de alguns pacotes desativam modos de proteção).
Além de Michael, Timothée Ravier também apresentou uma proposta semelhante: no Fedora 43, sugere-se continuar a oferta de pacotes flatpak pré-instalados do repositório Fedora, mas adicionar um filtro que permita a instalação de aplicativos verificados selecionados do FlatHub. Como benefícios da solução proposta, destaca-se a redução da confusão para usuários e desenvolvedores de projetos principais (os desenvolvedores precisam analisar mensagens de erro específicas dos pacotes Flatpak do Fedora, que são enviadas como se estivessem presentes no pacote flatpak oficial). A mudança também reduzirá a carga sobre os mantenedores e permitirá que se concentrem na entrega de correções para os projetos principais e na testagem dos pacotes Flatpak pré-instalados por padrão.
Fonte: opennet.ru
