Flatpak 1.10 mit neuem Repository-Format

Kommentare

4 Antworten zu „Flatpak 1.10 mit neuem Repository-Format“

1. 

   2021-01-15

   Charon

   Muss wohl meine Meinung über Flatpak revidieren. Vielen Dank.

   Antworten
2. 

   2021-01-15

   Nick

   Erfreulich das sich gewisse Feinheiten verbessern. Nichtsdestotrotz ändert das nichts an anderen Designfehlern, wodurch sich nahezu jedes Flatpak effektiv mehr Privilegien gönnt als eigentlich notwendig wären, und die Entwickler hinter Flatpak bislang nichts dagegen unternehmen. Es bleibt einzig das Kommando „flatpak override“ bzw. „flatpak-override“, womit das Manifest bzw. die Privilegien bereits installierter Flatpaks nachträglich überschrieben werden können. Und das geht nur manuell und muss bei Veränderungen stets lästig wiederholt werden. Es gibt keine globale Konfiguration in der das unabhängig festgeschrieben werden kann, weshalb man sich stets um diesen Mist kümmern muss, wenn sich ein Flatpak mal wieder mehr an Privilegien gönnt als einem lieb ist.

   In diesem Zusammenhang ist auch die Situation rund um die Freigabe von /home unbefriedigend. Hier hat man entweder die Wahl es komplett freizugeben oder gar nicht, und ersteres eröffnet wiederum Angriffsvektoren über die die Sandbox selbst wieder ausgehebelt werden kann. Sicher könnte man auch partielle Verzeichnisse unter /home freigeben, jedoch ist auch das ein Gefrickel unter Flatpak, noch kümmern sich die Herausgeber jeweiliger Flatpaks darum die Sandbox richtig zu konfigurieren, und geben schlicht /home als ganzes frei. Das war von Anfang an ein Fehler Entwicklern derartige Freiheiten einzuräumen, um die reguläre Sandbox gemäß eigenem Bedarf in begrenztem Rahmen aufweichen zu können. Genau darum ist unter anderem Firejail mein Favorit, zumal weder der Entwickler noch dessen Software ein Mitspracherecht hinsichtlich des lokalen Sandboxing haben sollten. Die werden sich immer mehr Privilegien gönnen wenn niemand genauer hinschaut, weil das schlicht der bequemste Weg ist. Und insbesondere hinsichtlich proprietärer Software via Flatpak, ist noch weniger davon auszugehen, dass hier irgendjemand ein Interesse daran hat die eigene Software mehr als nötig einzuschränken.

   Antworten
   1. 

      2021-01-15

      Ferdinand

      Flatseal kann die Situation etwas abmildern.

      Antworten
3. 

   2021-01-18

   2Cents

   Zu wenige Open Source Projekte bieten offizielle Flatpak Pakete an.
   Wenn die Pakete in der Distri zu alt sind, dann bleibt einem nur noch der Zugriff auf den Quellcode und das selber bauen oder binäre tar.gz Builds der Projektentwickler oder eben Flatpaks.
   Binäre tar.gz Builds greifen meist zu stark in die Distribution ein, da wird wie Kraut und Rüben das Zeug überall ohne Rücksicht hininstalliert, z.B. irgendwo nach /usr/lib anstatt nach /opt/paketname
   und root muss man dem entpackten sh Installer auch noch geben.
   Das sind keine schöne Aussichten.
   Schöner wären Flatpaks, denn die laufen von Haus aus in einer Sandbox.
   Aber Flatpaks kann man auch nicht nehmen, weil die oftmals nicht von den offiziellen Entwicklern sind, sondern irgendwer zusammengebaut hat. Wollte man Schadsoftware einschleußen, die /home verschlüsselt, dann muss man also nur Open Source Software auf flathub.org als Flatpak anbieten und den meisten Entwicklern der offiziellen Projekte scheint das auch leider völlig egal zu sein, weil deren tar.gz Lösung ja funktioniert.

   Da muss sich in den Köpfen also leider noch sehr viel tun.

   Antworten