Ukukhutshwa kweFlatpak 1.14.0 inkqubo yephakheji yokuzimela

Isebe elitsha elizinzile le-Flatpak 1.14 toolkit lishicilelwe, elibonelela ngenkqubo yokwakha iipakethi ezizimeleyo ezingabophelelekanga kwi-Linux ethile yokusasazwa kwaye iqhutywe kwisitya esikhethekileyo esihlukanisa isicelo esivela kuyo yonke inkqubo. Inkxaso yokuqhuba iiphakheji ze-Flatpak inikezelwa kwi-Arch Linux, i-CentOS, i-Debian, i-Fedora, i-Gentoo, i-Mageia, i-Linux Mint, i-Alt Linux kunye ne-Ubuntu. Iiphakheji zeFlatpak zibandakanyiwe kwindawo yokugcina i-Fedora kwaye zixhaswa ngumphathi wesicelo se-GNOME.

Izinto ezintsha eziphambili kwisebe leFlatpak 1.14:

• Обеспечено создание каталога для файлов в состоянием (.local/state) и выставление указывающей на этот каталог переменной окружения XDG_STATE_HOME.
• Добавлены условные проверки вида «have-kernel-module-имя» для определения наличия модулей ядра (универсальный аналог ранее предлагаемой проверке have-intel-gpu, вместо которой теперь можно использовать выражение «have-kernel-module-i915»).
• Реализована команда «flatpak document-unexport —doc-id=…».
• Обеспечен экспорт метаданных Appstream для использования в основном окружении.
• Добавлены правила автодополнения команд flatpak для командной оболочки Fish
• Разрешён сетевой доступ к сервисам X11 и PulseAudio (при добавлении соответствующих настроек).
• Основная ветка в Git-репозитории переименована с «master» на «main», так как слово «master» считается последнее время неполиткорректным.
• Обеспечена перезапись скриптов запуска в случае переименования приложения.
• В команду install добавлены опции «—include-sdk» и «—include-debug» для установки SDK и файлов debuginfo.
• В файлы flatpakref и flatpakrepo добавлена поддержка параметра «DeploySideloadCollectionID», при установке которого идентификатор коллекции будет выставлен во время добавления удалённого репозитория, а не после загрузки метаданных.
• Разрешено создание вложенных sandbox-окружений для обработчиков в сеансах с отдельными именами MPRIS (Media Player Remote Interfacing Specification).
• В утилитах командной строки обеспечен вывод сведений об использовании устаревших runtime-расширений.
• В команде uninstall реализован запрос подтверждения перед удалением runtime или runtime-расширений, которые ещё используются.
• В команды подобные «flatpak run» добавлена поддержка опции «—socket=gpg-agent».
• В libostree устранена уязвимость, потенциально позволяющая пользователю удалить произвольные файлы в системе через манипуляции с обработчиком flatpak-system-helper (отправке запроса на удаление со специально оформленным именем ветки). Проблема проявляется только в старых версиях Flatpak и libostree, выпущенных до 2018 года (< 0.10.2), и не затрагивает актуальные выпуски.

Masikukhumbuze ukuba i-Flatpak ivumela abaphuhlisi bezicelo ukuba benze lula ukuhanjiswa kweenkqubo zabo ezingabandakanyi kwiindawo zokugcina ezisemgangathweni ngokulungiselela isitya esinye sendalo yonke ngaphandle kokudala iindibano ezihlukeneyo zokusasazwa ngalunye. Kubasebenzisi abaqaphela ukhuseleko, i-Flatpak ikuvumela ukuba usebenzise isicelo esingathandabuzekiyo kwisitya, unikeze ukufikelela kuphela kwimisebenzi yenethiwekhi kunye neefayile zomsebenzisi ezinxulumene nesicelo. Kubasebenzisi abanomdla kwiimveliso ezintsha, iFlatpak ikuvumela ukuba ufake uvavanyo lwamva nje kunye nokukhutshwa okuzinzile kwezicelo ngaphandle kwesidingo sokwenza utshintsho kwinkqubo. Ngokomzekelo, iiphakheji zeFlatpak zakhelwe i-LibreOffice, iMidori, i-GIMP, i-Inkscape, i-Kdenlive, i-Steam, i-0 A.D., i-Visual Studio Code, i-VLC, i-Slack, i-Skype, i-Telegram Desktop, i-Android Studio, njl.

Ukunciphisa ubungakanani bepakethe, iquka kuphela ukuxhomekeka kwisicelo esithile, kunye nenkqubo esisiseko kunye neelayibrari zemizobo (i-GTK, Qt, GNOME kunye namathala eencwadi e-KDE, njl.njl.) ziyilwe njengeemeko-bume zexesha le-plug-in eliqhelekileyo. Umahluko ophambili phakathi kweFlatpak kunye ne-Snap kukuba i-Snap isebenzisa amacandelo ommandla wenkqubo engundoqo kunye nokuzihlukanisa ngokusekelwe kwiifowuni zenkqubo yokucoca, ngelixa i-Flatpak idala isitya esahlukileyo kwinkqubo kwaye isebenza ngeesethi ezinkulu zexesha lokugijima, ukubonelela kungekhona iiphakheji njengokuxhomekeka, kodwa umgangatho. iindawo zenkqubo (umzekelo, onke amathala eencwadi ayimfuneko ekusebenzeni kweGNOME okanye iinkqubo ze KDE).

Ukongeza kwindawo eqhelekileyo yenkqubo (ixesha lokuqhuba), efakwe kwi-repository ekhethekileyo, ukuxhomekeka okongeziweyo (i-bundle) efunekayo ekusebenzeni kwesicelo kunikwa. Lilonke, ixesha lokusebenza kunye ne-bundle zenza ukuzaliswa kwesikhongozeli, nangona ixesha lokugijima lifakwe ngokwahlukileyo kwaye liboshwe kwiikhonteyina ezininzi ngexesha elinye, elikuvumela ukuba uphephe ukuphindaphinda iifayile zenkqubo eziqhelekileyo kwizikhongozeli. Inkqubo enye inokuba namaxesha okusebenza ahlukeneyo afakiweyo (i-GNOME, i-KDE) okanye iinguqulelo ezininzi zexesha elinye lokubaleka (GNOME 3.40, GNOME 3.42). Isikhongozeli esinesicelo njengokuxhomekeka sisebenzisa isibophelelo kuphela kwixesha elithile lokuqhuba, ngaphandle kokuthathela ingqalelo iipakethe ezizimeleyo ezenza ixesha lokuqhuba. Zonke izinto ezingekhoyo zipakishwe ngqo kunye nesicelo. Xa isikhongozeli senziwe, imixholo yexesha lokuqhutywa inyuswa njenge /usr isahlulelo, kwaye inyanda ixhonywe kwi/app directory.

Ixesha lokusebenza kunye nezikhongozeli zesicelo zakhiwe kusetyenziswa ubuchwepheshe be-OSTree, apho umfanekiso uhlaziywa nge-atomically ukusuka kwindawo yokugcina efana ne-Git, evumela ukuba iindlela zokulawula uguqulelo zisetyenziswe kumacandelo osasazo (umzekelo, unokubuyisela ngokukhawuleza inkqubo kwi imeko yangaphambili). Iiphakheji ze-RPM ziguqulelwa kwindawo yokugcina i-OSTree usebenzisa i-rpm-ostree layer ekhethekileyo. Ufakelo olwahlukileyo kunye nohlaziyo lweepakethi ngaphakathi kwendawo yokusebenza ayixhaswanga; inkqubo ayihlaziywa kwinqanaba lamacandelo ngamanye, kodwa iyonke, iguqula imeko yayo ngeathom. Ibonelela ngezixhobo zokusebenzisa uhlaziyo ngokunyukayo, ukuphelisa imfuno yokutshintsha ngokupheleleyo umfanekiso ngohlaziyo ngalunye.

Ubume obuzimeleyo obuveliswayo buxhomekeke ngokupheleleyo kunikezelo olusetyenzisiweyo kwaye, kunye nezicwangciso ezifanelekileyo zephakheji, azikwazi ukufikelela kwiifayile kunye neenkqubo zomsebenzisi okanye inkqubo ephambili, kwaye ayikwazi ukufikelela ngokuthe ngqo kwisixhobo, ngaphandle kwemveliso nge-DRI kunye neefowuni. kwindlela esezantsi yothungelwano. Imveliso yeGraphics kunye nentlangano yegalelo iphunyezwa kusetyenziswa iprothokholi yeWayland okanye nge-X11 socket forwarding. Ukusebenzisana kunye nokusingqongileyo kwangaphandle kusekelwe kwinkqubo yokuthumela imiyalezo ye-DBus kunye ne-Portals API ekhethekileyo.

Для изоляции используется прослойка Bubblewrap и традиционные для Linux технологии контейнерной виртуализации, основанные на использовании cgroups, пространств имён (namespaces), Seccomp и SELinux. Для вывода звука применяется PulseAudio. При этом изоляция может быть отключена, чем пользуются разработчики многих популярных пакетов для получения полного доступа к ФС и всем устройствам в системе. Например, с ограниченным режимом изоляции, оставляющим полный доступ к домашнему каталогу, поставляются пакеты GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC. В случае компрометации пакетов с доступом к домашнему каталогу, несмотря на наличие в описании пакета метки «sandboxed», атакующему для выполнения своего кода достаточно изменить файл ~/.bashrc. Отдельным вопросом является контроль за внесением изменений в пакеты и доверие к сборщикам пакетов, которые часто не связаны с основным проектом или дистрибутивами.

umthombo: opennet.ru