Michael Catanzaro, um dos desenvolvedores do navegador web Epiphany (GNOME Web), que participa em projetos do GNOME e Fedora, sugeriu revisar o uso do cat\u00e1logo FlatHub no Fedora Linux. Na edi\u00e7\u00e3o at\u00f4mica atualiz\u00e1vel do Fedora Workstation, foi proposto que o cat\u00e1logo FlatHub para pacotes flatpak seja utilizado por padr\u00e3o, enquanto que o reposit\u00f3rio pr\u00f3prio de pacotes flatpak seja restrito apenas a pacotes pr\u00e9-instalados. <\/p>\n
Atualmente, o Fedora oferece por padr\u00e3o um reposit\u00f3rio flatpak pr\u00f3prio, cujo conte\u00fado \u00e9 gerado a partir da recompila\u00e7\u00e3o de pacotes rpm. Por padr\u00e3o, o download de pacotes do FlatHub s\u00f3 pode ser ativado ap\u00f3s a instala\u00e7\u00e3o, habilitando a op\u00e7\u00e3o \"Enable Third-Party Repositories\" no gerenciador de aplicativos GNOME, mas mesmo assim, os pacotes do reposit\u00f3rio Fedora t\u00eam prioridade maior. <\/p>\n
Na opini\u00e3o de Michael, a maioria dos usu\u00e1rios preferiria instalar pacotes do cat\u00e1logo FlatHub, coletados pelos desenvolvedores principais das aplica\u00e7\u00f5es, em vez de pelos mantenedores do Fedora (80% dos participantes da discuss\u00e3o se manifestaram a favor do uso do FlatHub). Acredita-se que os desenvolvedores de aplica\u00e7\u00f5es conhecem melhor as nuances de seus projetos e coletam pacotes flatpak que funcionam de forma mais eficiente, melhor testados pela comunidade. Enquanto isso, os pacotes rpm do Fedora n\u00e3o demonstram interesse em manter vers\u00f5es dos pacotes no formato flatpak e n\u00e3o prestam a devida aten\u00e7\u00e3o \u00e0s mensagens de erro nesses pacotes, resultando em uma qualidade inferior dos pacotes flatpak do Fedora em compara\u00e7\u00e3o aos pacotes hospedados no FlatHub pelos principais projetos. <\/p>\n
Muitos usu\u00e1rios n\u00e3o sabem que ao instalar um pacote flatpak atrav\u00e9s do gerenciador de aplicativos Fedora, ele \u00e9 instalado n\u00e3o do FlatHub, como em outras distribui\u00e7\u00f5es, mas do reposit\u00f3rio Fedora, cujos pacotes s\u00e3o diferentes das vers\u00f5es do FlatHub. Devido a isso, problemas espec\u00edficos dos pacotes do reposit\u00f3rio Fedora s\u00e3o percebidos como problemas nos pacotes oficiais do FlatHub, e as reclama\u00e7\u00f5es s\u00e3o dirigidas aos desenvolvedores principais, e n\u00e3o aos mantenedores do Fedora. Por exemplo, a entrega do pacote flatpak problem\u00e1tico OBS Studio no Fedora, que era considerado de maior prioridade em rela\u00e7\u00e3o ao pacote do FlatHub, levou a um conflito com o projeto OBS Studio em fevereiro. <\/p>\n
Observa-se que o futuro do Fedora Workstation \u00e9 visto como uma distribui\u00e7\u00e3o atualiz\u00e1vel de forma at\u00f4mica, portanto, \u00e9 melhor n\u00e3o atrasar a transi\u00e7\u00e3o para o FlatHub. O uso de um reposit\u00f3rio Flatpak pr\u00f3prio \u00e9 devido \u00e0 necessidade de compilar em um ambiente confi\u00e1vel. Para os pacotes no FlatHub, mesmo quando se consideram apenas os pacotes verificados, cuja publica\u00e7\u00e3o \u00e9 da responsabilidade dos projetos principais, a compila\u00e7\u00e3o \u00e9 realizada em infraestruturas externas, cuja seguran\u00e7a pode ser question\u00e1vel. <\/p>\n
Entre as vantagens de manter um reposit\u00f3rio pr\u00f3prio no Fedora est\u00e3o as garantias de que o pacote foi compilado a partir do c\u00f3digo fonte declarado e cont\u00e9m apenas componentes sob licen\u00e7as abertas, aprovadas para uso pelo Fedora. Os pacotes no reposit\u00f3rio do Fedora tamb\u00e9m podem incluir patches dispon\u00edveis apenas para pacotes RPM no Fedora e que ainda n\u00e3o foram aceitos na base de c\u00f3digo principal dos projetos. <\/p>\n
A proposta de Michael \u00e9 incluir, por padr\u00e3o, na edi\u00e7\u00e3o at\u00f4mica do Fedora Workstation, o suporte \u00e0 instala\u00e7\u00e3o de pacotes do FlatHub, que se encontram na categoria \"software livre\". A possibilidade de instala\u00e7\u00e3o do FlatHub se aplicar\u00e1 apenas aos pacotes instalados pelos usu\u00e1rios por meio do gerenciador de aplicativos GNOME Software. Todos os pacotes flatpak pr\u00e9-instalados continuar\u00e3o a ser baixados do pr\u00f3prio reposit\u00f3rio do Fedora, mas para pacotes que n\u00e3o s\u00e3o usados por padr\u00e3o, o FlatHub ser\u00e1 sugerido como fonte para download. <\/p>\n
Antes da transi\u00e7\u00e3o para o FlatHub, prop\u00f5e-se implementar em conjunto no FlatHub as capacidades de constru\u00e7\u00e3o de pacotes em uma infraestrutura confi\u00e1vel e realizar verifica\u00e7\u00f5es baseadas em compila\u00e7\u00f5es reproduz\u00edveis. Al\u00e9m disso, deve-se resolver a quest\u00e3o da utiliza\u00e7\u00e3o de vers\u00f5es desatualizadas do Flatpak Runtime nos pacotes, para as quais j\u00e1 foi interrompida a transfer\u00eancia de corre\u00e7\u00f5es de vulnerabilidades. Atualmente, 994 dos 3438 (quase um ter\u00e7o) dos pacotes verificados do FlatHub utilizam Runtimes desatualizados. Problemas de seguran\u00e7a tamb\u00e9m surgem devido a depend\u00eancias internas desatualizadas inclu\u00eddas nos pacotes e \u00e0 aplica\u00e7\u00e3o de medidas insuficientes de isolamento sandbox (desenvolvedores de alguns pacotes desativam modos de prote\u00e7\u00e3o). <\/p>\n