Utgivning av systemet för självständiga paket Flatpak 1.18.0

Efter ett och ett halvt års utveckling har den nya stabila grenen av verktyget Flatpak 1.18 publicerats, vilket erbjuder ett system för att bygga självgående paket, oberoende av specifika Linux-distributioner och körs i en speciell container som isolerar programmet från resten av systemet. Stöd för att köra Flatpak-paket finns för Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux och Ubuntu. Flatpak-paket ingår i Fedora-repositoriet och stöds av de inbyggda programhanterarna GNOME och KDE.

Nyckelnyheter i Flatpak 1.18-grenen:

• Stöd för villkorlig behörighet (conditional permission) har införts, vilket gör det möjligt att vid begäran om behörigheter kontrollera förekomsten av specifika möjligheter i systemet eller i runtime. Till exempel, för att begära åtkomst till en inmatningsenhet istället för «—device=all» kan man begära behörigheten «—device-if=all:!has-input-device —device=input», vilket ger åtkomst endast till inmatningsenheter eller återgår till att ge åtkomst till alla enheter om selektiv behörighet inte stöds i runtime. På samma sätt kan åtkomst till USB-enheter begäras («has-usb-device» och «has-usb-portal») eller delade underhållssystem.
• Åtkomst till enheten /dev/ntsync för att interagera med
  NTSYNC-kärnmodulen, som implementerar en uppsättning primitiva för synkronisering som används i Windows NT-kärnan och som väsentligt kan förbättra prestanda för Windows-spel som körs med Wine.
• För Intel Xe GPU:n har stöd för API VA-API för hårdvaruacceleration av videodekodning införts.
• Möjlighet att få åtkomst till enheten /dev/kfd (Kernel Fusion Driver) med hjälp av de behörigheter som ges för DRI-enheter har införts. KFD-drivrutinen implementerar ett gränssnitt för att utföra beräkningar direkt på AMD GPU:er från applikationer som använder AMD ROCm, HIP och OpenCL.
• Stöd för användning av kommandoradsalternativ för att vidarebefordra åtkomst till kataloger i isolerade applikationer har lagts till.
• Stöd för katalogen «preinstall.d», som definierar listan över förinstallerade Flatpak-applikationer (för att inkludera Flatpak-applikationer i operativsystemet), har lagts till.
• Direkt installation av applikationer från OCI-containeravbilder, som kan laddas ner från egna OCI-repositorier och lokala arkiv, har godkänts.
• Stöd för URI «flatpak+https://» har lagts till i kommandot «flatpak install —from».
• Kommandon "flatpak run" har fått alternativet "—clear-env" för att rensa miljövariabler innan applikationen körs.
• Möjligheten att exportera rotkatalogen för värdmiljön till den isolerade applikationsmiljön med åtkomst via katalogen /run/host/root har tillhandahållits.
• Möjligheten att visa resultatet av kommandons körning i JSON-format har lagts till.
• Isoleringen av byggmiljön har förstärkts — kommandot "flatpak build" ger numera inte åtkomst till värden som standard.
• Kommandot "reinstall" för att installera om beroenden (bundle) har lagts till.
• Standardinställningar för D-Bus har flyttats från katalogen /etc till /usr.
• Starttiden har minskats vid användning av kommandotolk fish.
• En funktion har lagts till i libflatpak för att få information om tidsstämpeln för konfigurationens skapelse, vilket gör att applikationer som GNOME Software kan avgöra om deras cacheade data behöver uppdateras.
• Byggalternativet http_backend har tagits bort, istället för libsoup2 används biblioteket libcurl för HTTP/HTTPS-nedladdningar.
• Användningen av escape-sekvenser för att indikera framsteg i operationen är aktiverad som standard.
• Det har blivit tillåtet att överföra åtkomsträttigheter till enheter till underliggande sandbox-miljöer skapade genom Flatpak-portaler.
• För applikationer som levereras i form av OCI-bilder har en mekanism implementerats för "extra-data", till exempel för att möjliggöra uppspelning av video h.265 i Flatpak-paket på Fedora Linux.
• Stödet för komprimering av beroenden (OCI bundle) med hjälp av algoritmen zstd, som komprimerar data mer effektivt, har lagts till. Gzip fortsätter att användas för komprimering som standard för maximal kompatibilitet.

Flatpak förenklar distributionen av program som inte ingår i de officiella repositoryn för distributioner, genom att förbereda en universell container som befriar utvecklarna från att behöva skapa separata versioner för varje distribution. För användare som är bekymrade över säkerhet ger Flatpak möjligheten att köra osäkra applikationer i en container, vilket ger begränsad åtkomst till endast nödvändiga nätverksfunktioner och användarfiler. För användare som är intresserade av nyheter, gör Flatpak det möjligt att installera de senaste test- och stabila versionerna av applikationer utan att behöva göra ändringar i systemet. Till exempel byggs Flatpak-paket för LibreOffice, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Telegram Desktop, Android Studio, osv.

För att minska storleken inkluderas endast applikationsspecifika beroenden i paketet. Grundläggande system- och grafikbibliotek (GTK, Qt, GNOME- och KDE-bibliotek osv.) levereras som kopplingsbara typiska runtime-miljöer. En nyckelskillnad mellan Flatpak och Snap är att Snap använder komponenter från det primära systemets miljö och isolering baserad på filtrering av systemanrop, medan Flatpak skapar en separat container från systemet och opererar med stora runtime-paket, där beroenden inte är paket utan typiska systemmiljöer (t.ex. alla bibliotek som behövs för att köra GNOME- eller KDE-program).

Utöver den typiska systemmiljön (runtime) som installeras via ett särskilt förråd, levereras ytterligare beroenden (bundle) som krävs för att applikationen ska fungera. Tillsammans bildar "runtime" och "bundle" innehållet i containern, där "runtime" installeras separat och kopplas till flera containrar, vilket gör att duplicering av gemensamma systemfiler för containrar kan undvikas.

I ett system kan flera olika "runtime" (GNOME, KDE) eller flera versioner av en och samma "runtime" (GNOME 50, GNOME 49) installeras. Containern med applikationen som beroende använder bara den specifika "runtime" utan att ta hänsyn till enskilda paket som bildar den valda "runtime". Alla saknade element packas ihop med applikationen. Vid skapande av containern monteras innehållet i "runtime" som en partition /usr, medan "bundle" monteras i katalogen /app.

Innehållet i "runtime" och applikationscontainrar bildas med hjälp av teknologin OSTree, där bilden atomärt uppdateras från ett Git-liknande förråd, vilket gör det möjligt att tillämpa versionskontrollmetoder på distributionskomponenterna (t.ex. kan man snabbt återgå systemet till ett tidigare tillstånd). RPM-paket översätts till OSTree-förrådet med hjälp av lagret rpm-ostree.

Urvalsom installation och uppdatering av paket inom arbetsmiljön stöds inte — systemet uppdateras inte på nivån för individuella komponenter, utan helt och hållet, atomärt ändrar sitt tillstånd. Verktyg för inkrementell tillämpning av uppdateringar tillhandahålls, vilket undanröjer behovet av en fullständig ersättning av bilden vid varje uppdatering.

Det isolerade miljö som skapas är oberoende av den använda distributionen och har, med korrekt paketering, ingen åtkomst till användarens eller systemets filer och processer, samt kan inte direkt nå hårdvaran, förutom utdata via DRI. Grafikoutput och inmatning organiseras med hjälp av Wayland-protokollet eller via X11-sockets. Interaktion med den externa miljön sker via meddelandesystemet DBus och ett särskilt API Portals.

För isolering används ett lager av Bubblewrap och traditionella Linux-teknologier för containervirtualisering baserade på användningen av cgroups, namnrymder (namespaces), Seccomp och SELinux. Vid skapande av paket kan isoleringen inaktiveras, vilket utnyttjas av utvecklare av vissa paket för att få full åtkomst till filsystemet och alla enheter i systemet.

Källa: opennet.ru