Dotaz: Flatpak vs. ostatni packages systemy (RPM, APT)

[polo23]

Ahoj, chtel bych se vas zeptat jaky mate nazor na flatpak jako balickovaci system ve srovnani s klasickymi pkg jako RPM a nebo APT? O flatpaku se pise, ze je to budoucnost...

Mne osobne se nelibi, ze na flathubu jsem nasel app jako Spotify coz neni opensource. Predpokladal bych, ze vsechny app ve flatpak repozitari by stejne jako v RPM a nebo APT repozitari mely byt opensource, aby byla jaks taks jistota, ze se tam nedostane nejaky malware.

Odpovědi

[:-(]

A proto to je izolovaný. Jenom to nezkoušej ve fedoře tam to instalovat nejde.

[skywaker]

existuje este tzv AppImage to pouziva Mageia napr. ale mne sa zas Flatpacky pozdavaju a v kombinacii s OSTREE to je daco co tu malo byt uz davno, viete si predstavit zeby neexistovali linuxove distribucie ako pozname ich dnes ale zeby namiesto toho boli systemy ako GNOME-OS, Neon s KDE a XFCE by malo a samozrejme nejaky nadsenci by sa nasli co by zmenili wallpaper a podobne a vydali by to uz ale nie ako dalsiu distribuciu ale ako ediciu. podla linux moze prerazit jedine ak bude zakldany system a balicky nad nim napr aj v podobe flatpakov a hlavne aj komercne aplikacie, preco si myslite ze linux neprerazil pretoze drtiva tych kvazi normalnych uzivatelov ked im predlozite 2 moznosti vyberu si tu komercnu a v mnohych pripadoch aj lepsiu moznost lepsi program preto je fajn ze projekty ako flatpack prinasaju aj aplikacie na ktorych makaju ludia za peniaze a aj pytaj usi za tie apky money

[drunkezz]

Hej...to je aktualny stav linuxu...

mame software

- skompilovany na stroji priamo

- instalovay ako baliz z hlavneho package managera z repozitarov

- instalovany ako balik mimo repozitarov

- snap balik

- flatpak balik

- app image balik

- ako hrubo kontajnerizovana app v style docker

......a to som urcite este na nieco zabudol

...ale k veci....aj rpm *deb baliky nemusia byt nutne opensource

D.

[pavele]

Snap balik, flatpak balik, app image balik není ve vetšině případů podporovaný výrobcem linuxové distribuce - myslím tím dlouhodobá podpora - oprava chyb, bezpečnostních děr, aktualizace.

Proto jsou podle mne bezpečnostní hrozbou.

Jestli to tak není, tak mne opravte.

[MadCatX]

Ne nutně. V případě AppImage je to v principu horší, v případě Flatpaku záleží na tom, co má daná aplikace za závislosti. Pokud se linkuje proti oficiálnímu runtimu, měL by ten runtime dostávat updaty stejně jako distribuční knihovny apod. Pokud je aplikace podporovaná autorem, mohou dostávat aktualizace i flatpakové balíčky. Nějaký abandonware s obskurními děravými závislostmi je bezpečnostní riziko bez ohledu na to, jak se distribuuje.

[MadCatX]

Uzavřené aplikace najdeš taky zabalené jako RPM či Deb a klidně mohou pocházet přímo od distribuce. Flatpak se s klasicky distribuovanými balíčky nedá moc srovnávat, protože to není jen distribuční systém ale i sandboxovací technologie. Smyslem Flatpaku je umožnit vydávat víceméně univerzální balíčky, které budou fungovat na každé distribuci, kde je nainstalovaný Flatpak. Využívají to hlavně právě aplikace jako Spotify, které se nedají smysluplně balit pro dvě stě různých distribucí.

[polo23]

Diky vsem za prispevky. Ohledne toho flathubu a oficialnich flatpak repozitaru - je tam nejaka forma kontroly, ze se tam nedostane nejaky malware?

Pokud vim, tak RPM a APT repozitare neco takoveho maji.

[:-(]

Ač nejsem žádný odborník.. Těžko se ohlídají různé servry proti hackerům. I kdyby jsi ten badware instaloval ve formě flatpaku, práva k napadení samotného OS mít nebude, pokud mu je později sám neudělíš. Sandbox může obsahovat chyby jako cokoli jiného ale pořád se to dá lépe ohlídat než nějaký server. Pro instalaci flatpaku se nepoužívá administrátorské heslo, to je ochrana číslo 1.

[:-(]

To ostatní jako výkon, integrace do GUI a jestli v určité distribuci půjde software vůbec stáhnout a instalovat je věc druhá.

[pavele]

flatpak může instalovat obyčejný uživatel bez práv roota?

[AsciiWolf]

Může, pokud Flatpak repozitář přidá jako uživatelský (přepínač --user, případně výchozí nastavení flatpakrepo/flatpakref souboru).

[AsciiWolf]

Predpokladal bych, ze vsechny app ve flatpak repozitari by stejne jako v RPM a nebo APT repozitari mely byt opensource, aby byla jaks taks jistota, ze se tam nedostane nejaky malware.

Tohle platí v případě Fedora Flatpaků. Flathub oproti tomu povoluje i nesvobodné aplikace. Každá aplikace (až na pár schválených výjimek, které používají vlastní infrastrukturu) má nicméně vlastní Git repozitář zde a je alespoň tímto způsobem transparentní.

[AsciiWolf]

Jinak se plánuje i nějaká forma (ručního) schvalování v případě, že se změní oprávnění aplikace.