Michael Catanzaro, unul dintre dezvoltatorii browser-ului web Epiphany (GNOME Web), care participă la proiectele GNOME și Fedora, a propus revizuirea utilizării catalogului FlatHub în Fedora Linux. În ediția atomică actualizabilă Fedora Workstation, s-a propus utilizarea implicită a catalogului FlatHub pentru pachetele flatpak instalate de utilizatori, iar propriul repository de pachete flatpak să fie limitat doar la utilizarea pentru pachetele preinstalate.
În prezent, ca implicit în Fedora este oferit un repository flatpak propriu, a cărui conținut este generat pe baza recompilării pachetelor rpm. Descărcarea pachetelor din FlatHub poate fi activată doar după instalare, prin activarea opțiunii „Enable Third-Party Repositories” în managerul de aplicații GNOME, dar chiar și în acest caz, pachetele din repository-ul Fedora au o prioritate mai mare.
În opinia lui Michael, majoritatea utilizatorilor ar prefera instalarea pachetelor din catalogul FlatHub, adunate de dezvoltatorii principali ai aplicațiilor, decât cele gestionate de Fedora (80% dintre participanții la discuție s-au exprimat în favoarea utilizării FlatHub). Se consideră că dezvoltatorii aplicațiilor cunosc mai bine detaliile proiectelor lor și construiesc pachete flatpak care funcționează mai bine, mai bine testate de comunitate. În același timp, pachetele rpm gestionate în Fedora nu manifestă interes pentru menținerea opțiunilor de pachete în format flatpak și nu acordă suficientă atenție rapoartelor de erori în aceste pachete, ceea ce duce la o calitate a pachetelor flatpak din Fedora inferioară celor din FlatHub ale proiectelor principale.
Mulți utilizatori nu sunt conștienți că, instalând un pachet flatpak prin managerul de aplicații Fedora, acesta nu se instalează din FlatHub, așa cum se întâmplă în alte distribuții, ci din repository-ul Fedora, pachetele din care diferă de variantele din FlatHub. Din această cauză, problemele specifice pachetelor din repository-ul Fedora sunt percepute ca probleme în pachetele oficiale din FlatHub și plângerile sunt adresate dezvoltatorilor principali, nu celor care gestionează Fedora. De exemplu, livrarea unui pachet flatpak problematic OBS Studio în Fedora, care a avut o prioritate mai mare decât pachetul din FlatHub, a dus în februarie la un conflict cu proiectul OBS Studio.
Se observă că viitorul Fedora Workstation este văzut ca un sistem de operare cu actualizări atomice, astfel încât problema trecerii la FlatHub ar trebui să fie abordată fără întârziere. Utilizarea unui depozit Flatpak propriu este determinată de necesitatea construirii într-un mediu demn de încredere. Pentru pachetele din FlatHub, chiar și ținând cont doar de pachetele verificate, construcția se face în infrastructuri externe, a căror siguranță poate ridica semne de întrebare.
Printre avantajele menținerii unui depozit propriu în Fedora se numără garanțiile că pachetul este construit din codul sursă declarat și conține doar componente licențiate deschis, aprobate pentru utilizarea în Fedora. Pachetele din depozitul Fedora pot include, de asemenea, patch-uri disponibile exclusiv pentru pachetele RPM din Fedora și care nu au fost acceptate în baza de cod principal a proiectelor.
Propunerea lui Michael se referă la includerea implicită în ediția atomică a Fedora Workstation a suportului pentru instalarea pachetelor din FlatHub, care se află în categoria „software liber”. Posibilitatea de instalare din FlatHub va viza doar pachetele instalate de utilizatori prin managerul de aplicații GNOME Software. Toate pachetele flatpak preinstalate vor continua să fie descărcate din propriul depozit Fedora, dar pentru pachetele care nu sunt aplicate implicit, se propune utilizarea FlatHub ca sursă de descărcare.
Înainte de a trece la FlatHub, se propune implementarea împreună în FlatHub a posibilităților de construire a pachetelor într-o infrastructură de încredere și utilizarea verificărilor bazate pe construcții reproducibile. În plus, trebuie rezolvată problema utilizării versiunilor învechite ale Flatpak Runtime în pachete, pentru care deja nu mai sunt transferite remedierile vulnerabilităților. În prezent, 994 din 3438 (aproape o treime) din pachetele verificate din FlatHub folosesc Runtime-uri învechite. Probleme de securitate apar, de asemenea, din cauza dependențelor interne învechite incluse în pachete și a aplicării unor măsuri insuficiente de izolare sandbox (dezvoltatorii unor pachete dezactivează modurile de protecție).
Pe lângă Michael, o propunere similară a fost avansată și de Timothée Ravier: în Fedora 43 se propune continuarea furnizării pachetelor flatpak preinstalate din depozitul Fedora, dar cu adăugarea unui filtru care să permită instalarea din FlatHub a aplicațiilor selectate și verificate. Printre avantajele soluției propuse se numără reducerea confuziei pentru utilizatori și dezvoltatorii principalelor proiecte (dezvoltatorii trebuie să analizeze mesajele de eroare specifice pachetelor Flatpak din Fedora, care sunt trimise ca și cum s-ar afla în pachetul oficial flatpak). Modificarea va reduce, de asemenea, povara asupra celor care se ocupă de acest lucru și le va permite să se concentreze pe transmiterea corecțiilor în proiectele principale și pe testarea pachetelor Flatpak preinstalate implicit.
Sursa: opennet.ro
