VSCodium, Visual Studio Code bez Microsoft brandingu, bez telemetrie a bez Microsoft licencování (diskuse)

[david]

robite akoby sa plno veci ako aj telemetriu nedalo jednoducho vypnut v nastaveni Code

[Xerces]

A dá?

[teni]

Příloha:

• telemetry.off.png (25011 bytů)

Dá :)

[Salamek]

A vime ze M$ pred buildem tech svych binarek neinjectuje patch ktery z tech checkboxu nedela jen nic nemenici klikatka ? :D

[chrono]

Toto je v licencii k VS Code:

Data Collection. The software may collect information about you and your use of the software, and send that to Microsoft. Microsoft may use this information to provide services and improve our products and services. You may opt-out of many of these scenarios, but not all, as described in the product documentation.

[little.owl]

You may opt-out of many of these scenarios, but not all, as described in the product documentation.

Tedy jistě nedá.

[Blaazen]

@ ... and your use of the software, and send that to Microsoft. Microsoft may use this information to provide services and improve our products and services.

Takže kód, kterej v tom lidi píšou, se odesílá do Microsoftu, a když se jim líbí, tak ho můžou použít ve svých produktech?

[Hammer battalion unleashed]

Kouknul jsem do kodu a tam nodejs a main.js, jdu blejt.

[koroptev]

lol a doteds zil kde poslednich par let?

[smazáno]

Na linux desktopu se da temto zpatecnostem vetsinou vyhnout.

[koroptev]

pokud vyhnout znamena ignorovat majoritu sveta vukol pak chapu ze na linuxu se da vyhnout i mnoha jinym vecem namatkou zjisteni ze linux na desktopu nikdo nepouziva nebo ze kde gnome nikdo nepouziva vlastne

[Andrej]

jedzte hovna, miliardy much sa predsa nemozu mylit!

...asi tolko k tej "majorite sveta"...

[AsciiWolf]

Případně použít OSS Flatpak verzi z Flathubu.

[mankind_boost]

Jenže tady je zase problém, že to je Fl*tpack.

[xkucf03]

V čem je problém? Z hlediska bezpečnosti by to mělo být lepší, ne?

[smazáno]

ne

[smazáno]

Ale vidim tam, ze aspon po imagetragick zupdatovali (ale mozna v te dobe ani flatpak pro VSCode nebyl?), tak to neni uplna hruza.

[smazáno]

Krome tech starych knihoven a nodejs si vsimni --filesystem=host, takze je cely sandbox tak nejak k nicemu :).

[little.owl]

Jak k nicemu? To jsou snad jen expected permissions, ktere aplikace nemusi dostat.

[smazáno]

A k cemu ti ten VScode bez tech prav bude?

[little.owl]

Editor bez pristupu k filesystems je k nicemu, ale mohu povolit pristup jen do urcitych adresaru (R,R/W) ci zablokovat pristup k siti.

[smazáno]

Vecer na to jeste kouknu.

Podivej se ale na ten flatpak buildfile k tomu VSCode - ma to 13000(!) radku a jsou v tom veci jako tunnel-agent, coz je "HTTP proxy tunneling agent" v javascriptu. Tahle knihovna je tam ve dvou verzich - jedna je staricka 0.4.3.

A to me jen prastilo do oci co tam sakra dela nejaky tunnel-agent. Stahuje se tam (z nejakeho yarnpkg) tisice zavislosti s natvrdo nastavenymi verzemi.

Z pohledu bezpecnosti je to jeden velky pruser, neco takoveho by do normalniho distra nikdy neproslo. I kdyz pomineme uteky ze sandboxu nebo pristup na cely filesystem ve vychozim nastaveni sandboxu, tak tohle je software, ve kterem budou uzivatele editovat zdrojaky, hesla k databazim atd.

[little.owl]

VSCode je standardni pomala Electron aplikace. Je smichu i placi kolik instalaci Chrome browseru maji nekteri lide na svem PC aniz by to vedeli (videl jsem stroj se ctrnacti).

S tou [ne]bezpecnosti souhlasim, slo mi jen o to ze flatpak umoznuje uzivateli aplikace pouzitelne sandboxovat. Navic umoznuje izolovat runtime environment, coz je presne co by Electron aplikace potrebovaly.

[smazáno]

Navic umoznuje izolovat runtime environment, coz je presne co by Electron aplikace potrebovaly.

V tomhle jsou ale klasicka distra (na kterych kontejnery stavi treba docker) tak o dekadu pred flatpakem. To jde ostatne videt z toho prikladu vyse (tam je izolace runtime environmentu nulova).

Jestli teda myslime "izolaci runtime environmentu" to stejne.

Ty runtimy ve flatpaku jsou podobny (deseti)tisice radkovy jsony jako ten VScode.

[little.owl]

V tomhle jsou ale klasicka distra (na kterych kontejnery stavi treba docker) tak o dekadu pred flatpakem.

Ani ne. A v kombinaci s vecmi jako Ostree (Fedora Atomic) je to uplne jinde.

To jde ostatne videt z toho prikladu vyse (tam je izolace runtime environmentu nulova).

Ne. To jsou permissions, ktere aplikace pozaduje, ale nemusi dostat. Vy je muzete jako uzivatel override.

[smazáno]

To asi myslime izolaci runtime environmentu neco jineho :).

Myslel jsem tim definice zavislosti pro runtime.

Mas na mysli izolaci ve smyslu kontejneru?

[little.owl]

Flatpak je postaven na Bubblewrap a jeho sandboxovani, to funguje jinak nez standarni kontejner a nevyzaduje privilegovane spousteni.

[smazáno]

Co se tyka toho override tak to vecer zkusim.

Ale jestli to jde jen z command line a neni uzivatel poradne varovan co to vlastne chce spustit (derovou aplikaci, ktera ma pristup vsude i kdyz se tvari ze je v sandboxu), tak to muj nazor na vec rozhodne nemeni.

[little.owl]

Staci si globalne nastavit, ze flatpak aplikace by default nemaji pristup k siti a filesystemu, a pak to povolovat selektivne per aplikace. Defaultni konfigurace v distrech nebyva tak restriktivni, to je ale zalezitost distribuce, nikoliv flatpak.

[smazáno]

Tak to zkousim a musim se smat, protoze tady na me gnome3 zblunka pokazde kdyz zmacknu tab v terminalu :). Zkousim na ciste instalaci aktualniho debianu s gnome3.

Nainstaluji teda flatpak. V prohlizeci otevru flathub a kliknu na "install" > "Sorry, this did not work. The file is not supported".

Zkusim tedy pres "flatpak install flathub com.visualstudio.code" > "error: Remote "flathub" not found".

Tak si teda oteveru ten jejich setup guide. Reboot. Povedlo se.

Kliknu na "Launch" a otevre se mi ve firefoxu (mimo jakykoliv sandbox) nejaky web, pres Activities se mi povedlo proklikat k tomu otevrenemu VSCode.

Takze mam spusteni deravy VSCode bez jakehokoliv varovani, ma pristup k internetu a muzu s nim klidne editovat cokoliv v mem ~. Tady je ten sandbox opravdu k nicemu.

[smazáno]

flatpak override com.visualstudio.code --unshare=network
error: Permission denied

[smazáno]

OK, chce to roota.

Pustil jsem tedy:

sudo flatpak override com.visualstudio.code --nofilesystem=host
sudo flatpak override com.visualstudio.code --unshare=network

Proslo to bez chyby. Ale v tom VSCode se furt k svemu home dostanu.

A jak prosimte muzu nastavit pres "flatpak override" tu granularitu - napr. povolit pristup pouze k ~/dev ?

[little.owl]

OK, chce to roota.

Pokud pouzije --user tak ne.

Ale v tom VSCode se furt k svemu home dostanu.

Zajimave, ja mam obsah prazdny, tedy dostat se tam nemohu.

A jak prosimte muzu nastavit pres "flatpak override" tu granularitu - napr. povolit pristup pouze k ~/dev ?

Treba takto:

$ sudo flatpak override com.visualstudio.code  --unshare=network --filesystem=~/dev

Osobne se s override netrapim a rovnou bych editoval:

sudo vi /var/lib/flatpak/overrides/com.visualstudio.code

je to trivialni ini file, ktery pak muze vypadat:

$ cat /var/lib/flatpak/overrides/com.visualstudio.code 
[Context]
shared=!network;
filesystems=~/dev;

Syntaxe je jednoducha "!" zakazuje a ";" oddeluje.

Flatpak ma sve limity, ale na vas je strasne videt, ze jste nemel cas si projit ani zakladni dokumentaci (a pouzivate Debian, ktery ma plno veci mimo stable casto podivne polo-integrovane).

[smazáno]

To fakt cekas ze si to takto kazdy bude editovat (zvlast kdyz jim to nikdo nerekne)? Ja se na toto jeste ze zvedavosti podivam, ale na tom mem puvodni komentari se nic nemeni, bohuzel.

A takova poznamka bokem ... pro me (a dalsi 2 miliardy lidi) je flatpak nepouzitelny naprosto, uz z toho duvodu ze v nem nefunguje IME, v mem pripade to znamena, ze v tom VScode pak nemuzu psat cinsky. Celkove jde strasne videt, ze flatpak je stale na urovni technickeho dema.

Ale diky za diskusi!

[little.owl]

To fakt cekas ze si to takto kazdy bude editovat (zvlast kdyz jim to nikdo nerekne)?

Necekam, pouzije override, treba globalne. Editovani je jen dalsi cesta.

A takova poznamka bokem ... pro me (a dalsi 2 miliardy lidi) je flatpak nepouzitelny naprosto, uz z toho duvodu ze v nem nefunguje IME, v mem pripade to znamena, ze v tom VScode pak nemuzu psat cinsky.

To neni omezeni flatpak, ale pripravenych balicku, treba u Gnome je IM pres iBus podporovano. Electron aplikace maji problem, nebot autori na to zatim nekoukaji.

Celkove jde strasne videt, ze flatpak je stale na urovni technickeho dema.

S tim bych nesouhlasil.

[smazáno]

Tak schvalne, vecer zkusim gimp ve flatpaku jestli tam IME bude fungovat a jeste si pohraju s temi overrides (asi tusim, proc mi ten --nofilesystem=host nefungoval).

Jinak ten bubblewrap na prvni pohled vypada fakt dobre, az se divim, ze za tim stoji stejny vyvojar co za flatpakem.

[smazáno]

Ale pouzivam teda fcitx a ne ibus (v ibus nefunguje bopomofo).

[little.owl]

fcitx

Skutecne zalezi na tom jak autori aplikace zabali a to je ted nejvetsi slabina - integrace a lide, pro ktere je to vse nove - nikoliv flatpak jako takovy.

[smazáno]

S tim ze je problem ve vyvojarich a ne v samotnem navrhu flatpaku zase nemuzu souhlasit ja, kdyz vidim jak vypadaji ofiko baliky na flathubu.

Na problemech s integraci se shodneme, proto je flatpak ostatne zatim na urovni technickeho demo.

[little.owl]

S tim ze je problem ve vyvojarich a ne v samotnem navrhu flatpaku zase nemuzu souhlasit ja, kdyz vidim jak vypadaji ofiko baliky na flathubu.

Plno aplikaci ve Flathub neni vytvoreno korektne, vi se to, a bude trvat nejaky cas nez se to vyresi. Za kvalitu jsou zodpovedni autori, nikoliv tvurci flatpak - vy muzete mit repositaru jako Flathub kolik chcete.

Na problemech s integraci se shodneme, proto je flatpak ostatne zatim na urovni technickeho demo.

Design a implementace flatpaku je uz vicemene stabilni, oznacovat to za demo je nesmysl, zadne vyrazne predelavani se neplanuje. Pokud nerozlisujete mezi technologii a jejim uziti, je problem spise na vasi strane, je to stejne jako obvinovat tvurce deb/rpm za zprasene deb/rpm balicky v repositari X/Y.

[smazáno]

Pokud nerozlisujete mezi technologii a jejim uziti, je problem spise na vasi strane, je to stejne jako obvinovat tvurce deb/rpm za zprasene deb/rpm balicky v repositari X/Y.

Flathub je oficialni repo a stoji za nim stejny lidi jako za flatpakem (flatpak), je to ukazkove pouziti flatpaku. Pokud to ani samy autori neumi udelat dobre, tak to o necem svedci - ty problemy jsou zpusobeny uz v navrhu flatpaku.

Proto me prekvapilo, ze ten bubblewrap vypada fakt hezky (alespon na prvni pohled), a mimochodem taky je to jen jednoduchy wrapper nad linux namespaces (klasicke kontejnery), coz je jedine dobre.

Design a implementace flatpaku je uz vicemene stabilni, oznacovat to za demo je nesmysl, zadne vyrazne predelavani se neplanuj

V tom pripade to nebude pouzitelny pro desktop nikdy. Na testovani to je velice dobre.

[smazáno]

IME nefunguje ani v gimpu.

Pres flatpak enter se muzu podivat ze v tom runtime jsou fcitx knihovny, ale proste to nefunguje; zamergovali, zavreli issue ale ani to nikdo nevyzkousel. Nejak bych to tam dohackovat dokazal, bude potreba vymyslet jake pridat overrides, aby dokazal komunikovat se systemovym fcitx, ale babrat se s funkcnim CJK IME, to se vracime o dekadu.

[smazáno]

Coz vlastne dava smysl, protoze ten PR, ktery si linkoval je do "org.platform.sdk", ktere pouziva i ten electron. Jsem ti naletel :).

[smazáno]

Promin, ale tomuhle uz se neda nesmat.

[little.owl]

To ano. Uprimne vzato, me podpora cinstiny moc netrapi. Tohle je FOSS a pokud Asiate chteji rozumnou podporu, tak at hejbnout zadkem a prispeji kodem a testovanim. Pokud ne, a jejich prispevek FOSS, prinejmensim v Linuxu, je vzhledem k jejich poctu maly*, opravdu nevidim duvod, aby Larsson ve Svedsku travil cas testovanim neceho, co v podstate ani rozumne otestovat nejspise neumi.

* Vyjimkou jsou velke firmy jako Samsung.

[smazáno]

Ano, to je cely ten problem. Larsson to pise pro Fedoru/RHEL s Gnome Shellem s vychozim tematem, vychozim fontem a vychozim nastavenim renderovani fontu a nic jineho ho nezajima. V takovem pripade to funguje skvele (pokud teda uzivatel nepotrebuje nahodou IME, 3d akceleraci nebo treba MIDI). Bohuzel se take kasle i na bezpecnost.

Nic proti tomu! Ale kdyz toto pak tlaci (nejenom) cely red hat a gnome horem dolem jako "the future of application distribution", to je hodne spatne.

[smazáno]

Theme extensions nebo nvidia extensions do runtimu nejsou realne pouzitelna reseni, to je problemovy (update driveru, vymena grafika, zmena tematu, ruzne verze runtime) workaround.

[smazáno]

Tak schvalne, vecer zkusim gimp ve flatpaku jestli tam IME bude fungovat a jeste si pohraju s temi overrides (asi tusim, proc mi ten --nofilesystem=host nefungoval).

Tak bohuzel. Mam overrides nastaveno:

cat /var/lib/flatpak/overrides/com.visualstudio.code  
[Context]
shared=!network;
filesystems=~/dev;

a do home se z VSCode dostanu jak nic.

[little.owl]

A vidite v home nejaky jiny adresar mimo ~/dev? Ja nikoliv.

[smazáno]

Samozrejme jsem si vytvoril soubory primo ve svem home, a testuji ze do nich muzu zapisovat.

[little.owl]

Tak to zkousim a musim se smat, protoze tady na me gnome3 zblunka pokazde kdyz zmacknu tab v terminalu :). Zkousim na ciste instalaci aktualniho debianu s gnome3. Nainstaluji teda flatpak. V prohlizeci otevru flathub a kliknu na "install" > "Sorry, this did not work. The file is not supported".

Za Debian nemohu mluvit. Pouzivam pouze command line a na Fedore 28 v KVM zadny problem:

$ sudo flatpak remote-add flathub https://flathub.org/repo/flathub.flatpakrepo

$ flatpak search visualstudio
Application ID            Version Branch Remotes Description                                 
com.visualstudio.code     1.26.1  stable flathub Visual Studio Code. Code editing. Redefined.
com.visualstudio.code.oss 1.26.0  stable flathub Visual Studio Code. Code editing. Redefined.

$ flatpak install flathub com.visualstudio.code
Required runtime for com.visualstudio.code/x86_64/stable (runtime/org.freedesktop.Sdk/x86_64/1.6) found in remote flathub
Do you want to install it? [y/n]: y
Installing in system:
org.freedesktop.Sdk/x86_64/1.6             flathub f6c68de30418
org.freedesktop.Platform.ffmpeg/x86_64/1.6 flathub d757f762489e
org.freedesktop.Sdk.Locale/x86_64/1.6      flathub 346dd3511a8c
com.visualstudio.code/x86_64/stable        flathub e54f52d67192
  permissions: ipc, network, pulseaudio, x11, dri
  file access: host
  dbus access: org.freedesktop.Notifications, org.freedesktop.secrets
Is this ok [y/n]: y
Installing: org.freedesktop.Sdk/x86_64/1.6 from flathub
[####################] 17 delta parts, 148 loose fetched; 325206 KiB transferred
Now at f6c68de30418.
Installing: org.freedesktop.Platform.ffmpeg/x86_64/1.6 from flathub
[####################] 1 delta parts, 2 loose fetched; 2652 KiB transferred in 7 seconds
Now at d757f762489e.
Installing: org.freedesktop.Sdk.Locale/x86_64/1.6 from flathub
[####################] 4 metadata, 1 content objects fetched; 14 KiB transferred in 1 seconds
Now at 346dd3511a8c.
Installing: com.visualstudio.code/x86_64/stable from flathub
[####################] Downloading: 94.1 MB/93.8 MB (409.0 kB/s)                 
Now at e54f52d67192.

$ flatpak override com.visualstudio.code --user --unshare=network --nofilesystem=host

Sit nepristupna, stejne jako home a dalsi soubory krome potrebne casti runtime.

[pc2005]

iptables -m owner ... -j REJECT

Problem solved

[Slavko]

Toto nerieši problém, len jeho dôsledky...

[debian+]

Ne, řeší to problém, neřeší to jen jeho příčinu.

[xkucf03]

Tohle by zasloužila většina programů. Přístup na internet by neměl být samozřejmost, stejně jako přístup ke všem souborům uživatele. Není důvod dávat aplikaci víc práv než potřebuje.

Nicméně iptables ti odřízne od internetu celého uživatele. Na úrovni aplikací se to dá řešit spíš přes firejail, AppArmor, SELinux… a tam ošetříš i ty soubory. Pak to chce ještě řešit bezpečnost v X / Waylandu.

[Peter Golis]

A potom sa človek pochváli na twitteri, a pastne to na facebook. Pričom mu nevadí že projekt má hosťovaný na githube vlastnenom firmou Microsoft.

[pc2005]

Já spouštím steam v jeho vlastním uživateli. Sice to používá "moje" Xka, takže bezpečnost stejně nic moc, ale není problém tomu uživateli nastavit speciální pravidlo. Jinak samozřejmě dá se to řešit líp. A kompletní řešení příčiny je nepoužívat VSC .

[Andrej]

niekto sa inspiroval centosom