LINUX.ORG.RU

Что такое Flatpak и какие проблемы он решает

 , , , ,


3

2

Flatpak - это универсальная система упаковки приложений для Linux, которая стремится решить проблему множества форматов пакетов. Она позволяет разработчикам создавать единый пакет приложения, который может быть установлен на различных дистрибутивах Linux без необходимости перекомпиляции.

Одна из самых больших проблем с Linux — это то, что у нас слишком много дистрибутивов, и каждый из них использует свой собственный формат пакетов. Это создает огромные проблемы для разработчиков приложений, которые должны поддерживать множество различных форматов, чтобы их программное обеспечение работало на всех дистрибутивах.

— Линус Торвальдс, создатель Linux и фанат Mac (не Дональдса)

Проблема в мире Linux с дистрибуцией приложений всегда была острой. Если с какими-то простыми консольными утилитами проблем особых нет, так как они часто представляют собой один бинарник без зависимостей, их можно скачать curl’ ом и просто запустить, то с чем-то сложным уже беда. Можно было использовать Windows-подход, распространяя приложение в виде архива со всеми зависимостями, но в мире Linux пошли по другому пути, вынеся общие зависимости в отдельные пакеты. Но тут возникла проблема с тем, что пакетам нужна разная версия одной и той же зависимости, и тут выбор делается в пользу той, которая системная, но приложение как-то нужно запускать. Сюда же накладывается проблема с кучей дистрибутивов с разными версиями системных библиотек.

Решением может быть переход на роллинг-релиз, например, и тут два подхода: компилируем все пакеты, красноглазя ночами, либо используем собранные (бинарные). Различия между динамической и статической линковкой я описывать не буду, напишу лишь что статическая линковка ничем не лучше скачивания проги в виде архива со всеми зависимостями, а готовые бинарные пакеты используют почти всегда динамическую линковку. Сборкой бинарных пакетов занимаются энтузиасты в основном, им никто сборочные сервера не оплачивает, поэтому часто, как в том же Arch Linux, установка пакета из репы — это на самом скачивание того же .deb с сайта разработчиков, которые сидят на какой-нибудь Ubuntu 18, и их мало волнуют проблемы тех, кто сидит не то что с роллинга, а с более новых версий Ubuntu. Ситуация складывалась критическая, и решением стало засунуть все в контейнеры. Причем, это еще решало проблемы с безопасностью.

Что такое Flatpak

Flatpak — это технология, которая стремится решить проблему множества форматов пакетов и упростить дистрибуцию графических приложений на различных дистрибутивах Linux.

  • Flatpak использует единый формат пакетов для всех дистрибутивов Linux. Это означает, что разработчики могут создавать один пакет, который будет работать на любой системе, поддерживающей Flatpak, независимо от используемого дистрибутива.

  • Flatpak изолирует приложения от основной системы, используя контейнеры. Это позволяет приложениям работать независимо от версий библиотек и зависимостей, установленных в основной системе. Таким образом, разработчикам не нужно беспокоиться о совместимости с различными версиями библиотек на разных дистрибутивах.

  • Flatpak использует централизованное хранилище приложений, называемое Flathub. Разработчики могут публиковать свои приложения в Flathub, и пользователи смогут легко устанавливать их на любом дистрибутиве, поддерживающем Flatpak. Это устраняет необходимость в создании и поддержке пакетов для каждого дистрибутива.

✍️ История

Flatpak изначально назывался XDG-App. Он был создан в 2014 году. Незадолго до этого, в феврале 2013 года, вышел Linux 3.8, добавивший поддержку пользовательских неймспейсов. А еще до этого были реализованы изоляция процессов. Таким образом, проект изначально был рассчитан на использование самых последних возможностей ядра. В 2015 году проект был переименован в Flatpak, чтобы лучше отразить его цель — предоставление унифицированного способа распространения графических приложений на различных дистрибутивах Linux. «Pak» — это жаргонное «package», то есть «коробка», а «flat package» — это картонная коробка, стандартный способ доставки чего-либо почтой или службой доставки до дома.

🤓 Кто создатель Flatpak

Flatpak — проект, разрабатываемый сообществом с поддержкой ряда компаний и организаций. Основателем и ведущим разработчиком является шведский разработчик Александр Ларссон (Alexander Larsson). Он долгое время работал в Red Hat и известен своим вкладом в развитие среды рабочего стола GNOME, а также фреймворка мультимедиа GStreamer.

💰 Спонсоры и поддержка

Проект Flatpak поддерживают несколько крупных компаний и организаций, среди которых:

  • Red Hat — одна из ключевых компаний, активно участвующих в развитии Flatpak.
  • Endless — компания, известная своими Linux-дистрибутивами, также вносит вклад в развитие Flatpak.
  • Другие организации и сообщества — включая GNOME Foundation и другие структуры, заинтересованные в развитии свободного программного обеспечения.

Поддержка со стороны крупных компаний дает уверенность в том, что проект неожиданно не загнется, заставив пользователей искать альтернативу.

🧑‍💻 Поддержка в дистрибутивах

Flatpak доступен для установки в большинстве дистрибутивов из стандартных репозиториев. Стоит отметить, что в дистрибутивах от Red Hat типа Fedora, Flatpak является предустановленным, и почти все графические приложения ставятся через него.

👍🏿 Габен рекомендует

Благодаря Steam Deck самым популярным дистрибутивом на десктопе стал Steam OS, основанный на Arch Linux (можно сказать, что и Arch Linux теперь занимает больше половины рынка). Из его особенностей помимо использования Btrfs (причем корень монтируется в ro) можно отметить использование Flatpak как единственного рекомендованного способа установки приложений:

Как установить приложения?

В настоящее время в KDE Plasma есть стандартное решение для установки программного обеспечения. Вы можете использовать Discover Software Center (на панели задач) для установки приложений. Discover Software Center устанавливает приложения с использованием технологии flatpak (подробнее об этом ниже) на записываемую часть вашего диска. Если вы разбираетесь в командной строке Linux, вы можете напрямую использовать команды flatpak для установки приложений. Обычные браузеры, музыкальные плееры и другие виды приложений уже доступны через эти методы, и мы ожидаем, что многие из них будут обновлены, исправлены и станут доступны после запуска.

И это при том, что Steam Deck, являясь по сути обычным Arch Linux, путем нехитрых манипуляций позволяет ставить пакеты через pacman.

🤔 Преимущества Flatpak

Flatpak выделяется рядом ключевых преимуществ:

  • Использование ostree и поддержка дельта-обновлений, обеспечивающих частичное обновление приложений, сокращает объем загружаемых данных. Скачанные приложения хранятся на диске в /var/lib/flatpak. Там есть подкаталоги app, runtime, exports, …, repo. В repo структура похожа на Git: там хранятся дельты различий между версиями, используется сжатие и т.д. Это позволяет хранить множество версий тех же рантаймов, причем их реальный размер на диске будет меньше того, который мы могли бы получить, складывая размер каждой версии. Например, если сложить размеры из вывода flatpak list --columns=size, то получится 17 гигабайт различных версий приложений и рантаймов, но если выполнить du -sh /var/lib/flatpak, то там будет храниться всего 14 гигабайт благодаря механизму ostree. Также flatpak не хранит архивы с каждой установленной версией пакета, так как с ostree это не нужно, что тоже экономит очень много места. Можно сказать, что только это уже компенсирует необходимость иметь немного дополнительного места для хранения различий между версиями.
  • Общие рантаймы — это наборы общих компонентов, которые используются различными приложениями. Благодаря этому Flatpak значительно выигрывает перед AppImage, позволяя экономить дисковое пространство и трафик. Библиотеки, которые содержат рантаймы, шарятся в RAM между приложениями.
  • Изоляция приложений в контейнерах, обеспечивающая повышенную безопасность и стабильность работы. Например, ситуаций когда после обновления системных зависимостей, перестанет запускаться приложение из Flatpak, не будет.
  • Централизованное хранилище пакетов Flathub, где доступны самые новые версии приложений. Так же, что важно, вы можете подключить сторонние репозитории.
  • Из неочевидных преимуществ Flatpak нужно упомянуть, что даже в стандартных репозиториях дистрибутивов ментейнерами даже популярных приложений являются сторонние разработчики-энтузиасты, в то время как во Flathub приложения часто поддерживают их разработчики (как тот же Telegram).
  • Все пользовательские данные хранятся в одном месте: в директории ~/.var.
  • Приложения, распространяемые через Flatpak, часто бывают преднастроенными. Хотя это можно назвать и минусом.
  • Оформление приложений подстраивается под тему вашей DE (поддерживаются лишь KDE, Gnome и Xfce).

♻️ Дельта-обновления

Дельта-обновления — это одно из главных преимуществ Flatpak. Они позволяют экономить время и пропускную способность сети, загружая только изменения между текущей и новой версиями приложения, а не весь пакет целиком.

Как работают дельта-обновления:

Для delta-обновлений в Flatpak используется библиотека ostree.

OSTree широко используется в продуктах компании Red Hat. Он позволяет откатывать систему после неудачных обновлений (прямо как в git).

Принцип работы:

  • Сравнение файлов: При обновлении приложения Flatpak сравнивает файлы текущей версии с файлами новой версии.
  • Генерация дельт: Flatpak генерирует «дельты» — наборы изменений, которые нужно применить к текущим файлам, чтобы получить новые файлы.
  • Загрузка дельт: Дельты загружаются с сервера и применяются к локальным файлам.
  • Обновление: После применения дельт приложение обновляется до новой версии.

Преимущества дельта-обновлений:

  • Экономия пропускной способности: Загружаются только изменения, что снижает потребление интернет-трафика.
  • Быстрое обновление: Обновление происходит быстрее, так как загружается меньше данных.
  • Экономия места: Меньше данных загружается, что экономит место на диске.

🫙 Что такое контейнеры

Контейнеры — это технология виртуализации на уровне операционной системы, которая позволяет запускать приложения в изолированных средах. В отличие от виртуальных машин, контейнеры используют ядро хост-системы, что делает их более легковесными и быстрыми.

Как работают контейнеры

  1. Изоляция процессов: Контейнеры изолируют процессы приложений друг от друга и от основной системы. Это достигается за счет использования механизмов ядра Linux, таких как namespaces и cgroups.

  2. Namespaces: Namespaces создают изолированные пространства имен для различных ресурсов, таких как процессы, сеть, файловая система и пользователи. Это позволяет каждому контейнеру иметь свою собственную «область видимости».

  3. Cgroups: Control Groups (cgroups) ограничивают и контролируют использование ресурсов (CPU, память, сеть) контейнерами. Это позволяет управлять нагрузкой на систему и предотвращать влияние одного контейнера на другие.

  4. Файловая система: Контейнеры используют файловую систему, изолированную от основной системы. Обычно это достигается с помощью UnionFS или OverlayFS, которые объединяют несколько слоев файловой системы в один.

Изоляция и безопасность

Для создания изолированных контейнеров Flatpak использует инструмент bubblewrap, который управляет изоляцией процессов и ресурсами. Bubblewrap позволяет приложениям запускаться в защищённой среде с минимальным доступом к системным файлам и службам, что добавляет дополнительный уровень безопасности, ограничивая потенциальные угрозы и уязвимости.

Контейнеры предоставляют изолированную среду для каждого приложения, что предотвращает их влияние друг на друга. Это значительно повышает стабильность и предсказуемость работы системы, так как сбой или ошибка в одном приложении не затрагивает остальные компоненты.

Контейнеры ограничивают доступ приложений к ресурсам системы, что делает их более безопасными. Например, можно задать ограничения на доступ к файлам или сетевым ресурсам, не позволяя приложению взаимодействовать с системными элементами за пределами контейнера.

Так же важно отметить, что если два приложения используют один и тот же runtime, они могут разделять в памяти библиотеки, предоставляемые этим runtime. Это аналогично тому, как стандартные приложения разделяют динамически загруженные библиотеки (shared libraries) в обычных Linux системах.

Песочница во Flatpak реализуется через контейнеры.

Ограничения песочницы

Одной из основных целей Flatpak является повышение безопасности настольных систем за счет изоляции приложений друг от друга. Это достигается с помощью песочницы, что означает, что по умолчанию приложения, запущенные с помощью Flatpak, имеют крайне ограниченный доступ к хост-окружению:

  • Нет доступа к файлам хоста, за исключением среды выполнения (runtime), самого приложения, ~/.var/app/$FLATPAK_ID, и $XDG_RUNTIME_DIR/app/$FLATPAK_ID. Только последние два из них являются доступными для записи.

  • Нет доступа к сети.

  • Нет доступа к узлам устройств (за исключением /dev/null и т.д.).

  • Нет доступа к процессам за пределами песочницы.

  • Ограниченные системные вызовы. Например, приложения не могут использовать нестандартные типы сетевых сокетов или отслеживать другие процессы с помощью ptrace.

  • Ограниченный доступ к экземпляру сессионного D-Bus — приложение может владеть только своим собственным именем на шине.

  • Нет доступа к хост-сервисам, таким как X11, системный D-Bus или PulseAudio.

Доступ к сети, к сокетам dbus, некоторым устройствам и тп приложению можно дать.

К каталогам хоста типа /root, /sys, /bin и тд доступ нельзя получить.

Кому не нужен Flatpak?

  • Пользователям дистрибутивов типа Ubuntu, где есть полноценный аналог + в дистрибутиве, где присутствует встроенная телеметрия, какие-то соображения о приватности, доверии разработчикам не работают.
  • В таких дистрибутивах как Qubes OS, где каждое приложение ставится в виртуалку, Flatpak чуть менее чем полностью не уместен.

Установка

Ubuntu/Debian

# Обновляем список пакетов
sudo apt update

# Устанавливаем Flatpak
sudo apt install flatpak

# Устанавливаем плагин для графического интерфейса (необязательно)
sudo apt install gnome-software-plugin-flatpak

Fedora

В новых версиях Flatpak установлен по умолчанию.

sudo dnf install flatpak

Arch Linux и его клоны

sudo pacman -S flatpak

yay -S flatpak

openSUSE

sudo zypper install flatpak

CentOS/RHEL

В новых версиях RHEL yum является алиасом dnf.

# Включаем репозиторий EPEL (если еще не включен)
sudo yum install epel-release

# Устанавливаем Flatpak
sudo yum install flatpak

Gentoo

# Устанавливаем Flatpak
sudo emerge --ask app-eselect/eselect-repository
sudo eselect repository enable guru
sudo emerge --sync guru
sudo emerge --ask flatpak

Alt Linux

sudo apt install flatpak
flatpak remote-add flathub https://dl.flathub.org/repo/flathub.flatpakrepo

Необязательное подключение репозитория

Если в вашем дистре по какой-то причине не прописан основной репозиторий, выполните эту команду:

flatpak remote-add --if-not-exists flathub https://dl.flathub.org/repo/flathub.flatpakrepo

🚀 Основные команды для терминала

Некоторые из этих команд могут понадобиться:

# Установка пакета
# flathub здесь — это явное указание из какого репозитория установить приложение. Указание репозитория можно опустить
flatpak install flathub com.example.App

# Запуск приложения
flatpak run com.example.App

# Обновление одного пакета
flatpak update com.example.App

# Обновление всех пакетов
flatpak update -y

# Запретить обновление приложения
flatpak mask org.example.App

# Удаление пакета
flatpak uninstall com.example.App

# Удаление неиспользуемых рантаймов
flatpak uninstall --unused

# Иногда пакет не хочется удаляться, потому как он почему помечен как системный, тогда нужно выполнить pin
flatpak pin --remove runtime/org.winehq.Wine.DLLs.dxvk/x86_64/stable-23.08
# а затем удалить его
flatpak uninstall org.winehq.Wine.DLLs.dxvk
# и почистить хвосты
flatpak uninstall --unused

# Вывести список рантаймов
flatpak list --runtime

# Поиск пакета
flatpak search <text>

# Вывод списка установленных пакетов с их id, названием, занимаемым местом
flatpak list --columns=app,name,size

# Дать доступ приложению к графическому устройству для работы с OpenGL
flatpak override --device=dri com.example.App

# Сбросить разрешения для приложения на дефолтные
flatpak override --reset com.example.App

# Просмотр информации о пакете
flatpak info com.discordapp.Discord

# Так же мы можем присоединится к любому запущенному контейнеру
flatpak enter com.discordapp.Discord sh

# Добавление сторонего репозитория от разрабов KDE
flatpak remote-add --if-not-exists kdeapps --from https://distribute.kde.org/kdeapps.flatpakrepo

# Удаление репозитория
flatpak remote-add repo

# Список репозиториев
flatpak remotes

🚧 Flatseal: Управление разрешениями Flatpak

Flatseal — это графический инструмент для управления разрешениями приложений, установленных через Flatpak. Он позволяет пользователям просматривать и изменять разрешения для каждого приложения, что повышает безопасность и контроль над приложениями.

Основные функции Flatseal:

  1. Просмотр разрешений: Flatseal отображает все разрешения, предоставленные каждому приложению, включая доступ к файлам, сети, аппаратным устройствам и другим ресурсам.

  2. Изменение разрешений: Пользователи могут изменять разрешения для каждого приложения, добавляя или удаляя доступ к определенным ресурсам.

  3. Безопасность: Flatseal помогает повысить безопасность системы, позволяя пользователям ограничивать доступ приложений к критическим ресурсам.

Установка Flatseal:

Flatseal можно установить через Flathub:

flatpak install flathub com.github.tchx84.Flatseal

Использование Flatseal:

  1. Запуск Flatseal:

    flatpak run com.github.tchx84.Flatseal
    
  2. Просмотр и изменение разрешений:

    • Откройте Flatseal и выберите приложение, для которого хотите изменить разрешения.
    • Просмотрите текущие разрешения и измените их по необходимости.

🖥️ Интеграция с DE

Flatpak интегрирован в популярные окружения рабочего стола KDE и GNOME. Как в GNOME Software, так и в Discover можно устанавливать приложения напрямую из Flatpak, мало того в обеих средах Flatpak является источником для поиска и установки приложений по умолчанию. Разработчики дистрибутивов могут основными источниками пакетов делать свои репозитории и отключать возможность установки через Flatpak.

В Arch Linux в описании пакета Discover среди зависимостей указан packagekit-qt6. Он нужен для установки пакетов из стандартного репозитория. Там так же написано, что его можно использовать только на свой страх и риск, т.е. в Арче рекомендованный способ установки графических приложений — Flatpak.

Правами flatpak-приложений можно управлять при наличии установленного Flatseal.

Plasma 6: запускаем System Settings, а далее Security & PrivacyApplication PermissionsFlatpak Permissions.

Gnome:

  • Откройте GNOME Software.
  • Перейдите на вкладку Installed.
  • Найдите приложение, установленное через Flatpak.
  • Нажмите на приложение и перейдите на вкладку Permissions.
  • Здесь вы можете управлять правами доступа для выбранного приложения.

Недостатки Flatpak

  • Более долгий запуск приложений. Речь идет о долях секунды или даже секундах, но тем не менее.
  • Приложение, установленное через Flatpak имеет ограниченный доступ к ресурсам и файловой системе хоста, что может быть проблематичным для Gparted (поэтому его и нет во Flathub) или какой-нибудь IDE, которые должны быть тесно интегрирована с системой. Руководствуйтесь правилом не ставить стандартные приложения для вашего DE из Flatpak
  • Он используется для установки только графических приложений.
  • Внешний вид приложений может отличаться от привычного. Дело тут в том, что «разработчики» и мейнтейнеры пакетов дистрибутивов очень часто кардинально меняют внешний вид всего до чего могут дотянуться. Внешний вид приложений из стандартных репозиториев не изменяют только в Arch Linux. Но тут можно кинуть камень в огород и упаковщиков flatpak, они тоже таким страдают.
  • Осиротевшие пакеты, оставшиеся без мейнтейнера удаляют из репозитория. Очень старые версии рантаймов так же удаляют.
  • Система может засоряться рантаймами, поэтому нужно периодически вызывать flatpak uninstall --unused. Но при использовании приложений, которые редко обновляются, множество старых версий рантаймов будет всегда присутствовать. Так же можно использовать flatpak mask org.example.App чтобы запретить обновление проблемного приложения при вызове flatpak update.

⚔️ Сравнение с конкурирующими технологиями

AppImage и Snap — это технологии для решения проблемы с кросс-дистрибутивным распространением приложений на Linux, конкурирующие с Flatpak. Каждая из них имеет свои преимущества и недостатки.

AppImage

Преимущества:

Тут указаны преимущества над стандартными спсобами дистрибуции

  • Простота использования: AppImage — это просто исполняемый файл, который можно запустить без установки.
  • Условная переносимость: AppImage в теории должен работать на любом дистрибутиве Linux, поддерживающем исполняемые файлы ELF. Тут нужно написать, что этот пункт применим с очень большой натяжкой, так как с тем же musl этот формат не дружит, те какие-то системные зависимости все равно должны быть.
  • Не требует установки: в большинстве случаев (если используется жирнодистр типа Ubuntu) не нужно устанавливать дополнительные пакеты или зависимости, что упрощает распространение приложений.

Недостатки:

  • Нет обновлений: AppImage не предоставляет механизм обновления приложений, нужно постоянно скачивать новую версию приложения.
  • Засоряет систему: в «образы» (архивы и тп — как хочешь называй) AppImage включены зависимости. Это тот же Windows-подход только у нас вместо папочек архивчики, где содержатся повторяющиеся so-шки. Чем оно лучше статических сборок? — Лишь тем, что все идет одним файлом и компилировать ничего не надо.
  • Нет ограничения доступа: AppImage не изолирует приложения, что может привести к проблемам с безопасностью.
  • Нет реальной кроссдистрибутивности: например, AppImage гвоздями прибит к glibc.

Интересно, что разработчик AppImage сам предлагает Flatpak как достойную альтернативу его проекту, здраво рассуждая, что у каждой технологии есть свое применение. Те, если вам не нужны обновления или нужного приложения нет в Flatpak тупо потому что оно старое, не поддерживаемое, то ищете AppImage.

Snap

Преимущества:

  • Интеграция с Ubuntu: Snap тесно интегрирован с Ubuntu, что обеспечивает лучшую поддержку и обновления. Flatpak же необходимо быть универсальным…
  • Консольные приложения: Snap позволяет устанавливать и запускать как графические, так и консольные приложения.
  • Автоматические обновления: Snap поддерживает автоматические обновления приложений (KDE и Gnome тоже могут автоматически обновлять приложения, установленные через Flatpak, но они не единственные DE).

Недостатки:

  • Зависимость от Ubuntu: Snap тесно связан с Ubuntu, что может быть проблемой для других дистрибутивов.

Остальные недостатки те же самые, что и у Flatpak.

⚔️ Flatpak vs Firejail, Apparmor и SELinux

Эти технологии были созданы для ограничения доступа приложений к сети и/или системным ресурсам. Flatpak проще в использовании: он не требует запуска ядра с дополнительными параметрами, установки кучи пакетов, написания конфигов и т.д.

Так же никто вам не запрещает использовать тот же Apparmor чтобы дополнительно ограничить flatpak и все приложения, запускаемые через него.

📦 Поддержка flatpak-версий приложений официальными разработчиками

Если раньше было проблемой мотивировать разрабов популярных программ сделать flatpak-версию, но после того как Fedora выпилили многие программы из своих репозиториев, разработчики начали активно добавлять свои программы в Flathub.

Вот неполный список flatpak-версий популярных приложений, поддерживаемых их разработчиками:

Офисные приложения

  1. LibreOffice — свободный офисный пакет.
  2. OnlyOffice Desktop Editors — редакторы документов, таблиц и презентаций.

Мультимедиа

  1. VLC Media Player — популярный видеоплеер (аудио тоже воспроизводит).
  2. Spotify — клиент для прослушивания музыки через одноименный сервис.
  3. Audacity — аудиоредактор.
  4. GIMP — растровый графический редактор.
  5. Kdenlive — видеоредактор.

Интернет и коммуникации

  1. Mozilla Firefox — веб-браузер с телеметрией.
  2. Google Chrome — популярный веб-браузер с телеметрией и интеграцией с сервисами Google.
  3. Telegram Desktop — ранее свободный мессенджер.
  4. Slack — корпоративный мессенджер.
  5. Discord — мессенджер, используемый для общения в онлайн-играх.

Разработка

  1. Visual Studio Code — свободный редактор кода от Microsoft.
  2. IntelliJ IDEA Community — IDE для разраотки на Java, Groovy, Kotlin, Scala от JetBrains.
  3. PyCharm — IDE для разраотки на Python от JetBrains.
  4. GitKraken — графический интерфейс для Git от разработчика Sublime Text.

От себя отмечу, что не нужно использовать flatpak-версии IDE. Как писал уже выше для них критически важна интеграция с системой. Тот же VS Code требует либо создания своего flatpak-билда со всем необходимым, что сложно, либо использования разработки через docker-контейнеры, что не всегда удобно. Можно, конечно, извратиться установив все необходимые средства разработки в какой ~/.local/bin, но это противоречит практике при которой все пакеты в системе должны управляться пакетным менеджером, чтобы иметь их актуальные версии (в случае с Python всякие black и pylint можно ставить через pipx — тогда терпимо, но от проблем с интеграцией с ssh это не спасает). Из неочевидных решений можно поднять локальный ssh-сервер и подключаться к хосту по ssh чтобы вести разработку (я так, например, делал когда сидел с Windows, а Arch Linux у меня крутился в гипервизоре). Но, так или иначе, я предупредил о возможных проблемах и подсказал пути их решения.

Системные утилиты

  1. Timeshift — утилита для создания снимков системы.

Игры

  1. Steam — клиент для скачивания и установки игр из Steam.
  2. Lutris — менеджер игр для Linux.

Другие

  1. Krita — профессиональный инструмент для цифрового рисования.
  2. Inkscape — векторный графический редактор.
  3. Blender — 3D-редактор.
  4. OBS Studio — программа для записи и стримминга видео.

📂 Популярные репозитории

Вот подборка популярных и полезных репозиториев Flatpak, которые помогут расширить доступ к различным приложениям:

  1. KDE Applications (kdeapps) — репозиторий с широким набором приложений для среды рабочего стола KDE.

  2. GNOME Nightly — содержит ночные сборки приложений GNOME, для тех, кто предпочитает работать с последними версиями.

  3. Elementary OS Flatpak — официальный репозиторий приложений для пользователей Elementary OS, известного своим минимализмом и эстетикой.

🗣️ Мнения от экспертов в области безопасности

В мире Linux существует ряд известных разработчиков и исследователей в области безопасности, которые высказывают свое мнение о Flatpak и его роли в обеспечении безопасности и совместимости приложений.

Маттью Гэрретт, специализирующийся на обеспечении безопасности UEFI и разработке ядра Linux, отмечает, что Flatpak предлагает важные преимущества в плане изоляции приложений и управления зависимостями. Он считает, что этот подход значительно улучшает безопасность системы, поскольку каждое приложение работает в своей собственной изолированной среде, что снижает риск распространения вредоносного кода и уязвимостей. Гэрретт также подчеркивает, что Flatpak позволяет разработчикам легко распространять свои приложения на различных дистрибутивах Linux, что способствует более широкому распространению программного обеспечения и улучшению совместимости.

Еще одним известным исследователем в области безопасности, который высказывает свое мнение о Flatpak, является Киз Кук, работающий в компании Google и активно участвующий в разработке ядра Linux, также видит в Flatpak потенциал для улучшения безопасности. Он отмечает, что изоляция приложений, предлагаемая Flatpak, является важным шагом вперед в борьбе с уязвимостями и атаками на систему. Кук подчеркивает, что Flatpak позволяет пользователям устанавливать приложения с минимальными рисками для безопасности, поскольку каждое приложение работает в своей собственной среде, изолированной от остальной системы.

В целом, мнение этих известных разработчиков и исследователей в области безопасности свидетельствует о том, что Flatpak представляет собой важный инструмент для улучшения безопасности и совместимости приложений в мире Linux. Их поддержка и активность в этой области способствуют дальнейшему развитию и распространению этой технологии, что, в свою очередь, приносит пользу всему сообществу Linux.

🤦 Про критику

У любой прогрессивной, модной и «молодежной» технологии есть противники. Такие люди как правило могут критиковать, но не способны предложить лучшую альтернативу и тем более ее написать.

Лозунг, что Flatpak будущее Linux написан на главной странице сайта проекта.

Сайт «Flatpak is not a future» — это пример критики проекта Flatpak, которая, по мнению автора, не имеет будущего. Однако, такие критические заявления часто основаны на неполной информации или предвзятости и не отражают реальной ситуации с проектом Flatpak. Со всеми его тезисами можно ознакомиться тут. Вот их опровержение:

  1. Песочница и безопасность: автор критикует Flatpak за то что ментейнеры пакетов дают им излишние права… — Ну, это примерно как претензии к Пашке Дурову за то что творят пользователи Телеграма. А так же он хотел бы чтобы пакетам права какие-то устанавливали не сами разработчики, а кто-то типа модераторов, что весьма трудозатратно.

  2. Объём дискового пространства: да, действительно, в первый раз когда качаешь приложение, то скачивается в тч его рантайм с драйверами Nvidia и тп, но рантаймы общие для приложений, а при обновлении скачивается только дельта. Это ситуация когда полуправда хуже лжи.

  3. Производительность: утверждается, что приложения дольше запускаются. Это правда, но тут все-таки нужно сделать выбор между изоляцией и безопасностью, а дополнительное время на запуск не более секунды на относительно современных машинах.

🪲 Реальные уязвимости

По-мимо каких-то мнимых претензий со стороны троллей и просто невежд, которые не понимают либо не хотят разбираться «а зачем оно нужно», есть реально задокументированные серьезные проблемы в области безопасности, ради обеспечения которой вроде и нужно использовать Flatpak. Из серьезных уязвимостей можно припомнить, CVE-2024-32462, где разработчики пакета в теории могли получить доступ к файловой системе хоста через command line injection. Она относительно серьезная, но так или иначе Flatpak не дает доступа к root. Тут уже каждый решит для себя что лучше чувство мнимой безопасности или ее полное отсутствие, потому как никто не может гарантировать появление подобных уязвимостей в будущем. Ряяяяяяя — скажут противники Flatpak, зачем оно такое дырявое, а я их разочарую, потому как эта уязвимость была и в sudo, например, изучаем этот сплойт для CVE-2023-22809. Вывод: Flatpak настолько уязвим, насколько уязвимы сторонние разработки, лежащие в основе.

👁️ Почему Flatpak — это будущее?

Flatpak представляет собой будущее Linux благодаря своей универсальности и эффективности в решении проблем, связанных с зависимостями и совместимостью приложений. Контейнеризация, лежащая в основе Flatpak, позволяет изолировать приложения от системы, что решает проблему «ада зависимостей» и обеспечивает стабильность работы приложений на различных дистрибутивах. В дистрибутивах таких как Ubuntu, сталкивающиеся с трудностями в поддержке множества версий пакетов для своих различных релизов, это осознали одними из первых, а поэтому они идут именно по пути упаковывания в контейнеры приложений. Вы можете плеваться, истерить, рвать на голове и спине волосы, но этот процесс не остановить. В других же дистрибутивах вместо того чтобы полагаться на проприетарные технологии, такие как Snap от Canonical, которые могут в будущем стать платными или сменить лицензию, выбирают Flatpak как более открытую и свободную альтернативу. Flatpak не только упрощает распространение приложений, но и обеспечивает более строгий контроль над правами доступа, что повышает безопасность и защиту персональных данных пользователей. Для «стабильных» дистров Flatpak — это возможность прикоснуться к rolling, а в rolling и в «стабильных» в том числе — повысить безопасность. Таким образом, Flatpak становится ключевым инструментом для создания более стабильной, безопасной и совместимой экосистемы Linux.

🔗 Ссылки



Проверено: hobbit ()
Последнее исправление: rtxtxtrx (всего исправлений: 66)

Ответ на: комментарий от Kroz

Основная цель - изояция, песочница, контейнер, безопасность.

На главной написано немного другое. Контейнер для

Consistent environments

Stable platforms

Future-proof builds

т.е. чтобы не было багов из-за разного окружения у разраба и у пользователя. А безопасность они вообще не упомянули)

goingUp ★★★★★
()
Последнее исправление: goingUp (всего исправлений: 1)
Ответ на: комментарий от rtxtxtrx

А чем плох Андроид? Нет рута, нет вирусов и даже не посмотреть, что лежит в каталоге приложения, те и вирус не увидит. Это ж прекрасно…

С тобой не знаком, но это очень странный вопрос на linux.org. Полностью огороженная система, где пользователь практически ничего не контролирует.

Практически, после того как сделали контейнеризацию полноценно пользоваться Андроидом стало практически невозможно. У меня раньше стоял клиент Оунклауд, в его папке лежали все мои данные, которые я использовал на Андроиде - музыка, фотки, треки и т.п. После введения контейнеризации я не могу получить доступ к своим же данным. Фактически телефон превратился просто в звонилку и читалку телеграма… Контейнеризацией они просто убили неплохую ОС.

sena ★★
()
Последнее исправление: sena (всего исправлений: 3)
Ответ на: комментарий от sena

После введения контейнеризации

ты пишешь контейнеры, я пишу контейнеры, но я то понимаю, что их не существует — это просто абстракция над абстракциями в мире абстракций, процесс просто думает, что он крутится в настоящей системе, а все что они видит ­обман, но для внешних прооцессов он такой же обычный процесс как и все… рутануть несложно, сложно восстанавливать доступы

rtxtxtrx
() автор топика
Ответ на: комментарий от rtxtxtrx

ты пишешь контейнеры, я пишу контейнеры, но я то понимаю, что их не существует — это просто абстракция над абстракциями в мире абстракций, процесс просто думает, что он крутится в настоящей системе, а все что они видит ­обман, но для внешних прооцессов он такой же обычный процесс как и все… рутануть несложно, сложно восстанавливать доступы

Это «просто абстракция» из-за которой я не могу получить доступ к моим же данным. Даже имея рут. Впрочем получить рут стало тоже сложной процедурой и не везде возможной.

sena ★★
()
Последнее исправление: sena (всего исправлений: 1)

Пойдёт статья.

В минусы AppImage я бы ещё записал, что кроссдистрибутивность зависит от того, кто этот AppImage собирал. Не зная всех подводных, очень легко сделать пакет который работает только на машине разработчика.

Flatpak эту проблему решает на корню.

a1ba ★★
()
Ответ на: комментарий от rtxtxtrx

плюс у флатпака есть простой гуй где можно права раздать или наоборот забрать. почти как у андроида, но не так человеколюбиво. нужно чтобы вообще просто было, без всяких упоминаний XGD и прочих колдунств.

Unixson
()
Ответ на: комментарий от sena

Фактически телефон превратился просто в звонилку и читалку телеграма…

разве это плохо? среднестатистический человекус довольно глуп (я бы даже сказал наглухо тупой), ему этим колдунством заниматься некогда. Большего им не нужно!

Я больше скажу, зумеры и альфа не понимают концепцию файлов и файловой системы. i.e что существуют какие-то там папки, и что в папке может лежать еще папка, а картинка в их понимании это не файл, а картинка йопта. Поэтому ты со своими высокими материями в меньшинстве.

Unixson
()
Ответ на: комментарий от kirill_rrr

А что если видеокарта без вулкана?

Из разряда: «а что если у меня нет носа, как мне очки носить? это не универсально»

Unixson
()
Ответ на: комментарий от rtxtxtrx

флатпак жрет диск, ряяяя

боже, сейчас диски КОПЕЙКИ стоят, в любой продуктовом ларьке рядом с колбасой можно найти приличный m.2 диск или на худой конец ssd. На терабайты карл! SSD даже дешевле блю рей болванки!))

Unixson
()
Ответ на: комментарий от sena

но проблема в том что он для этого использует контейнеризацию, что не нужно

кек, майкрософт в иксбоксе вообще используют hyper-v чтобы отделить игры от основной ос и сделать платформу обратно-совместимой.

когда ты запускаешь игру, запускается виртуалка с минимальной виндой на винде в которую прокинут directx (без всяких красноглазых VFIO и пробросов видеокарт). по сути каждая игра пакуется с копией специально подготовленной венды, которая стартует только в узкоспециальном гипервизоре, и то если куча условий выполняется) вот это я понимаю изоляция.

Unixson
()
Последнее исправление: Unixson (всего исправлений: 1)
Ответ на: комментарий от Unixson

На терабайты карл!

Нормальный ссдшник на терабайты стоит достаточно дорого, дороже CPU у меня в ПК.

… на что как-то всё равно, потому что /var/lib/flatpak у меня занимает около 6 гигов.

whbex ★★
()
Ответ на: комментарий от Unixson

кек, майкрософт в иксбоксе вообще используют hyper-v чтобы отделить игры от основной ос и сделать платформу обратно-совместимой.

Скорее чтобы взломать было невозможно, или слишком сложно (т.к. hyperv помимо бокса используется ещё в корпоративном секторе). Ибо нечего скоту лазить в собственном железе.

whbex ★★
()
Ответ на: комментарий от Unixson

нужно чтобы вообще просто было, без всяких упоминаний XGD и прочих колдунств.

Нужно, чтобы доступ к данным/железу/etc запрашивался динамически как в macOS.
При этом и настройка для более продвинутых пользователей тоже должна быть, не нужно превращать ПК в платформу для потре***дей, чем сейчас являются сосноли и смартфоны в некоторой степени.

Удивительное рядом, апле свои макбуки для блондинок как-то не особо огораживает, ковыряйся в макоси сколь влезет, только SIP отключи.

whbex ★★
()
Последнее исправление: whbex (всего исправлений: 2)
Ответ на: комментарий от whbex

хороший может быть да. вообще я тут недавно смотрел сколько стояла память 5 лет назад, и сейчас. вангую что еще через лет 5 игры будут сразу на ssd продаваться как на катриджах))

Unixson
()
Ответ на: комментарий от whbex

Скорее чтобы взломать было невозможно, или слишком сложно

И это тоже. К тому же quick resume работает. Просто ставит VM на паузу.

Ибо нечего скоту лазить в собственном железе.

Правильно, потому что оно не твое, а их. И вообще ты х*й, геймпас купил? купил? молодец! и вот тебе еще фирменый харчок в хлебало. Так и надо я считаю!

Unixson
()
Ответ на: комментарий от whbex

Нужно, чтобы доступ к данным/железу/etc запрашивался динамически как в macOS

Согласен. Там это очень хорошо реализовано. Мб и мы к такой же системе придем в итоге

Unixson
()
Последнее исправление: Unixson (всего исправлений: 1)
Ответ на: комментарий от Unixson

К тому же quick resume работает. Просто ставит VM на паузу.

Я тут читал, что он там криво работает, если консоль полностью выключить (из розетки).

Правильно, потому что оно не твое, а их

Очень тонкая тема, в СШП считается, что железо твоё, софт - нет, соотв. и взлом запрещён. Видимо, у мс/сони/нинтендо бабла хватило сил продавить подобное, у япла вот не вышло - их айфоны джелбрекать можно. Очень забавная ситуация.
Но суть даже не в этом, консоль я купил в магазине за свои деньги? значит она моя, period. А уж как я её далее буду использовать, мс волновать не должно.
Габену вон не помешало продавать свою полуконсоль и при этом не огораживать её до огрызка, хотя там тоже интересный CPU, как и в консолях.

AMD вот из-за своих контрактов с MS/Sony не выкатывает нормальный APU на десктопы, ведь тогда он убьёт любой смысл брать сосольку. В итоге имеем 5600G/5700G, поддержку видеоядра которого уже выкинули из Mainline драйвера, а на соснолях новенький RDNA/RDNA2. Впрочем, тут может и в другом дело, эти апу - отбраковка от мобильных процов. Но почему они туда не воткнули рдна - фиг знает.

whbex ★★
()
Последнее исправление: whbex (всего исправлений: 2)
Ответ на: комментарий от whbex

Я тут читал, что он там криво работает, если консоль полностью выключить (из розетки).

Как владелец xbox могу сказать что да, все норм работает, но только в том случае если VM успела сохранится на диск. Свет вырубают, но когда бокс загружается игра все равно висит. И тут шанс 50/50 что игра запустится с того же места или начнет грузится заново. Но это эджкейс. В нормальном режиме все очень плавно работает.

APU на десктопы

Тащемта да, этого нехватает, но есть вполне себе хорошие встройки у 9-ых рязаней которые по сути тот же APU на RDNA2/3 с DDR5 памятью. Если минипк, то типа интеловких NUC, только на AMD и там стоит почти такая же встройка как в боксе, только чуть другая (по понятным причинам).

Unixson
()
Последнее исправление: Unixson (всего исправлений: 1)
Ответ на: комментарий от Unixson

кек, майкрософт в иксбоксе вообще используют hyper-v чтобы отделить игры от основной ос и сделать платформу обратно-совместимой.

Ну и прекрасно, для проприетарщины всякой flatpak отличная штука. Правда не для всей. Но для игр - отлично.

Однако неплохо было бы иметь такую возможность и для родных пакетов и не только в контейнере.

Например чтобы поставить пакет из 11го Дебиана в 12й.

sena ★★
()
Последнее исправление: sena (всего исправлений: 3)
Ответ на: комментарий от Unixson

Нет, это всего лишь любая виртуалка, арм-одноплатник или макбук/мак мини. Короче хренова туча железа, которое производят вот прямо сейчас и ещё в будущем году.

kirill_rrr ★★★★★
()
Последнее исправление: kirill_rrr (всего исправлений: 1)

Вот это я понимаю - сообщение. Спасибо.

targitaj ★★★★★
()
Ответ на: комментарий от rtxtxtrx

Открыл для себя Arkenfox давно. С тех пор мои волосы мягкие и шелковистые. На возможные оставшиеся мелочи мне, честно говоря, начхать. Я не Джулиан Ассанж или мамкин хацкер.

Gonzo ★★★★★
()
Ответ на: комментарий от Gonzo

Серьезно? Расширение конечно же тебя спасет от слежки, а разработчики либревульвы — это так шизики, которые не знают что с помощью волшебного расширения «можно» полностью вырубить телеметрию

rtxtxtrx
() автор топика
Ответ на: комментарий от rtxtxtrx

Это не расширение. Это то, почему я юзаю фуррифокс, а не эти ваши гуглохромы. Надеюсь, так и будет продолжаться. А твоя личная паранойя меня мало волнует. Телеметрия, одинодинодин, мы всем умрем!!!!111

Gonzo ★★★★★
()
Ответ на: комментарий от rtxtxtrx

Ну вот простой пример, я простой манагер в совсем не ИТ конторе, Linux интересен был ещё со времён ядра 2.4 и давно почившей Мандривы. Я просто не хочу себе в систему дополнительные рантаймы, прослойки и прочие тулзы для разграничения прав приложениям которые коряво работают при чистой установке. Мне гораздо проще (а я очень ленив, надо признать) поставить пакет. При его отсутствии, собрать его, или вообще собрать для переносимости appimage, и то в крайнем случае, предпочитаю нативные пакеты и отсутствие мусора в системе (да мне жалко даже 100 мегабайт под ненужные и тем более висящие в фоне службы). Предвосхищая набросы из разряда купи нормальный компьютер и не экономь место - у меня основной ноутбук с двумя SSD, 1- 512 Гб под систему (так много потому что продавался с таким, менять на меньший объём не вижу смысла), 2 - 4 ТБ под хомяк.

zshfan
()
Ответ на: комментарий от rtxtxtrx

Для того чтобы не трахаться с ограничением прав приложения через AppArmor или Firejail на худой конец.

Просто оставлю это здесь: FlatSeal

zshfan
()
Ответ на: комментарий от zshfan

Про flatseal написано.

Ну вот простой пример, я простой манагер в совсем не ИТ конторе

Ищи мне клиентов за 25% от стоимости разработки

предпочитаю нативные пакеты и отсутствие мусора в системе

его нет. больше мусора у тебя в системе из-за кеша пакетов твоим пакетным менеджером

rtxtxtrx
() автор топика

Если он такой замечательный, этот ваш flatpak, то существует ли российский дистрибутив, которые использует его как основной пакетный менеджер?

Shushundr ★★★
()
Ответ на: комментарий от Shushundr

Зачем они нужны эти дистрибутивы? Это просто распильная схема с обязаловкой. Например в том же Alt Linux rpm устанавливается через apt, а пакеты в репах старые, поэтому ставят телеграм через epm, хотят там есть Flatpak, но у сисьадминов локалхоста какие-то предубеждения, граничащие с религиозным бредом

EPM, кстати, шедевральное дерьмицо, когда вместо какого-нибудь питона используют баш чтобы парсить yaml https://github.com/Etersoft/eepm/blob/master/bin/tools_yaml

rtxtxtrx
() автор топика
Последнее исправление: rtxtxtrx (всего исправлений: 1)
Ответ на: комментарий от MagicMirror

Какая разница что он удалился, если все эти данные были записаны на диск. Причем, размер пакета x 3, а то и более раз (скачали пакет, распаковали, а иногда еще и компилируется что-то)

rtxtxtrx
() автор топика
Ответ на: комментарий от MagicMirror

не ощущаю этого. я удалил всякие протоны и прочую жирноту и теперь вес пакетов без пользовательских данных из ~/.var 4.6 гигов (со сжатием в Btrfs)

rtxtxtrx
() автор топика

Очешуеть! 35 экранов текста на смартфоне.

grem ★★★★★
()
Ответ на: комментарий от Shushundr

flatpak не может быть основным пакетным менеджером, только вспомогательным

Ну или надо накатывать базовую систему одним куском

sena ★★
()
Последнее исправление: sena (всего исправлений: 2)
Ответ на: комментарий от Shushundr

Базовую систему ещё можно распространять одним куском, но как быть с апдейтами?

Ну и всё равно не запихать всё только во флатпак, есть ещё консольные приложения, например.

sena ★★
()
Последнее исправление: sena (всего исправлений: 2)
Ответ на: комментарий от Shushundr

как быть с апдейтами?

не нужны. Накатывать новый релиз раз в 10 лет и достаточно.

И апдейты нужны, хотя бы для того чтобы дыры закрывать. И далеко не всё можно запихать в контейнер, они даже сами пишут что IDE в контейнере не стоит даже пытаться использовать.

Практически всё что не вещь в себе и должно активно взаимодействовать с другими приложениями и с файлами других приложений в контейнер не запихаешь.

sena ★★
()
Ответ на: комментарий от sena

Все можно запихнуть в контейнеры, просто сам Flatpak не имеет средств чтобы доустановить в контейнер нужных версий интерпретаторов и библиотек. Он в этом плане хуже докера

rtxtxtrx
() автор топика

Решил повторить недавний успех Хоббита и поставил в шапку уродливый рисунок псевдотрёхмерного кота, чтобы все обсуждали его, а не Flatpak? xD (Да, первый комментарий прочитал)

Gentooshnik ★★★★★
()

Некоторые из этих команд могут понадобиться:

Установка пакета
flatpak install …

Разве sudo не нужна?

dataman ★★★★★
()
Ответ на: комментарий от dataman

Значит я что-то настроил, менял и уже забыл. По идее при глобальной установке, данные пишутся в /var/lib/flatpak, а там владелец root

rtxtxtrx
() автор топика

От статьи отвратительно пахнет, зря потратил время на скролл. Впрочем, в мире Flatpak ничего нового.

RectalReactor
()

Фу... Ложь в каждом предложении .. спонсоры - ретхат и его подставные лица. Не стал стммос самым популярным дистрибутивом. И т.д. А на картинке должен был быть не котик, а продукты его деятельности в коробке. Именно это и представляет из себя флатпак. (Наболело. Опять почистил 15(!) гигов с флатпака при том, что установлено всего три программы.)

R_He_Po6oT ★★★★★
()
Для того чтобы оставить комментарий войдите или зарегистрируйтесь.