Release av det självständiga paketssystemet Flatpak 1.4.0

Publicerat ny stabil version av verktygslådan Flatpak 1.4, som erbjuder ett system för att bygga självförsörjande paket som inte är knutna till specifika Linux-distributioner och körs i en speciell behållare som isolerar appen från resten av systemet. Stöd för att köra Flatpak-paket är tillgängligt för Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint och Ubuntu. Paket med Flatpak ingår i Fedora-repositoriet och stöds av det inbyggda programmet för applikationshantering GNOME.

Nyckel nyheter i Flatpak 1.4:

• Organisationen av inställningarna för externa repositorier har ändrats. I katalogen /etc/flatpak/remotes.d används numera vanliga filer med ändelsen «.flatpakrepo» istället för *.conf-filer med inställningar, vilka automatiskt importeras vid första användning av flatpak. Dessa filer går att redigera och ta bort fritt, i likhet med manuellt tillagda repositorier;
• Organisationen av installationerna av paket som är tillgängliga för hela systemet har ändrats avsevärt. I tidigare versioner installerades paketet först i en användarens temporära katalog, och därefter använde system-helper-processen för att importera till systemet från den katalogen. Denna metod ledde till hög diskanvändning, överflödig I/O och potentiella säkerhetsproblem. I den nya versionen används ett särskilt nytt FUSE-filssystem för installation av systempaket, där användaren kan skriva data men efter skrivningen blockeras åtkomsten till de skrivna filerna för användaren. Den nya metoden förutsätter att en särskild användare (standard är «flatpak») skapas för flatpak och att SELinux-reglerna ändras;
• Möjligheten att definiera filter för externa repositorier på klientsidan har lagts till. Genom filtren kan man begränsa de appar som syns i repositoriet, med en vit- och svartlistemodell;
• Ett bibliotek-API för att lägga till externa repositorier från flatpakref-filer har lagts till;
• En seccomp-profil för Docker har lagts till, vilket möjliggör körning av flatpak inuti behållare;
• Möjligheterna för installation från flera P2P-källor (via USB-enheter eller lokalt nätverk) har förbättrats;
• I kommandot «flatpak remote-ls» har automatisk filtrering av appar som har avslutat sin supporttid säkerställts;
• I "flatpak remote-ls" och "flatpak remote-info" har alternativet "—cached" implementerats för att ge information baserad på lokala cachade data;
• Möjlighet har lagts till att ange versionen av paketets livslängd, efter vilken erbjudandet att gå till en ny gren kommer att ges;
• Alternativet "—socket=pcsc" har lagts till för att få åtkomst till smartkort;
• Stöd har lagts till för system som har flera NVIDIA-grafikkort;
• Stöd har implementerats för dconf som placeras i en sandbox-miljö;
• Kommandot build-update-repo har fått alternativen "—no-update-[summary,appstream]" och "—static-delta-ignore-ref=PATTERN";
• Hastigheten för regenerering av appstream-grenar för stora förråd har ökat avsevärt.

Vi påminner om att Flatpak ger applikationsutvecklare möjlighet att underlätta distributionen av sina program, som inte ingår i standardförråden av distributioner, genom beredning en universell behållare utan att skapa separata byggnader för varje distribution. För användare som bryr sig om säkerhet möjliggör Flatpak att köra tvivelaktiga program i en behållare, vilket ger endast åtkomst till nätverksfunktioner och användardata relaterade till programmet. För användare som är intresserade av nyheter tillåter Flatpak att installera de senaste testerna och stabila versionerna av program utan att behöva göra ändringar i systemet. Till exempel samlas Flatpak-paket redan nu in för LibreOffice, Firefox, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio etc.

För att minska paketets storlek inkluderar det endast applikationsspecifika beroenden, medan grundläggande system- och grafikbibliotek (Gtk+, Qt, GNOME- och KDE-bibliotek etc.) presenteras som modulära typiska runtime-miljöer. Den största skillnaden mellan Flatpak och Snap är att Snap använder komponenter från huvudsystemet och isolering baserat på filtrering av systemanrop, medan Flatpak skapar en behållare som är separat från systemet och hanterar stora uppsättningar av runtime, och ger som beroenden inte paket, utan typiska systemmiljöer (till exempel alla bibliotek som behövs för att köra GNOME- eller KDE-program).

Förutom den typiska systemmiljö (runtime) som installeras genom en särskild arkiv, levereras ytterligare beroenden (bundle) som krävs för att applikationen ska fungera. Tillsammans bildar runtime och bundle innehållet i containern, där runtime installeras separat och kopplas till flera containrar, vilket minimerar duplicering av gemensamma systemfiler för containrar. I ett system kan flera olika runtime (GNOME, KDE) eller flera versioner av samma runtime (GNOME 3.26, GNOME 3.28) installeras. En container med en applikation som beroende använder endast specifik bindning till ett visst runtime, utan att ta hänsyn till de separata paketen som utgör runtime. Alla saknade element paketteras direkt tillsammans med applikationen. Vid skapandet av containern monteras innehållet av runtime som delen \/usr, medan bundle monteras i katalogen \/app.

Innehållet i runtime och applikationscontainrar skapas med hjälp av teknologin OSTree, där bilden atomärt uppdateras från ett Git-liknande förråd, vilket möjliggör användning av versionskontrollmetoder för distributionskomponenterna (till exempel kan systemet snabbt återställas till ett tidigare tillstånd). RPM-paket översätts till OSTree-repositoriet med hjälp av ett speciellt lager rpm-ostree. Separat installation och uppdatering av paket inom arbetsmiljön stöds inte, systemet uppdateras inte på nivå av enskilda komponenter, utan helt och hållet, atomärt förändrar sitt tillstånd. Det finns verktyg för inkrementell tillämpning av uppdateringar, vilket eliminerar behovet av fullständig ersättning av bilden vid varje uppdatering.

Det isolerade miljön som skapas är helt oberoende av den använda distributionen, och med rätt paketinställningar har den inte tillgång till användarens eller huvudsystemets filer och processer, kan inte direkt komma åt maskinvaran, utom för utgång via DRI, och nätverksundertryckningen. Utmatning av grafik och organisering av inmatning har möjligheten genom protokollet Wayland eller via X11-socketomställning. Interaktion med den externa miljön bygger på DBus-meddelandesystem och ett särskilt API Portals. För isolering funktionen unix_crypt, som tar emot det lösenord som användaren anger utan att utföra escape av specialtecken. I git-repositoriet ett lager Bubblewrap och traditionella Linux-teknologier för containervirtualisering, baserade på användning av cgroups, namespaces, Seccomp och SELinux. För ljudutgång används PulseAudio.

Källa: opennet.ru