Flatpak – bezpečnostní noční můra – 2 roky poté

Před dvěma lety vyvolala diskusi stránka Flatpak - bezpečnostní noční můra (flatkill.org) popisující bezpečnostní problémy technologie Flatpak. Po dvou letech vyšla aktualizace. Dle autora se toho moc nezměnilo.

2.10.2020 14:55 | Ladislav Hagara | Zajímavý článek

Komentáře

[biolog]

Shrňme si, na co si autor stěžuje:

• aplikace jsou označené jako sandboxované, přestože mohou zapisovat v uživatelově HOME kdekoliv -- to je smutné, ale po technické stránce je sandbox zapnutý a to, že to laikové chápou naopak, se ve světě linuxu považuje za problém laiků
• aplikace a runtimy mívají bezpečnostní díry dlouho po opravě v upstreamu -- to je smutné, ale bezpečností updejty jsou starost autora balíčku, jako u distribucí. Stěžovat si na flatpack by bylo na místě, kdyby to updejtování šlo udělat snazším, ale neuměl to.
• lokální root exploity -- pokud jde o exploit ve flatpackové aplikaci, tak je to přece chyba té aplikace - flatpack snad nezaručuje kvalitu ani bezpečnost aplikací. Pokud je to exploit ve flatpacku samostném (např když uživatel získá roota narafičením symlinků a spuštěním zdánlivě neškodného flatpack příkazu), tak je to chyba flatpacku.
• aplikace nerespektují nastavení fontů, barevného schématu, vstupní metody -- to zní jako chyba těch aplikací. Dělá tu integraci flatpack obtížnějším?

Většina kritiky vyplývá z toho, že se flatpack přeskakuje klasický model distribuce, ne že by to přeskakování distribuce dělal hůř, než co vyplývá z principu přeskakování.

[Josef Kufner]

Ve všech čtyřech bodech se mýlíš.

[GargameL]

Děkujeme za argumenty, tady máte klíčenku: <>~~~o

Stálo by za to dodat, že autor Flatkill.org, je zaměstnanec Canonicalu, který opakovaně veřejně prohlašoval, jak nenávidí Red Hat. Krom Flatpaku šíří hate a FUD i například na systemd, zatímco projekty od Canonicalu - například Snap - tento člověk vychvaluje.

[Bedňa]

A možno má pravdu

[billgates]

Clovek pracujuci pre korporaciu (ktorukolvek) nikdy nema pravdu.

[Peter Golis]

Predpokladám že si len zle pochopil pozdrav, prianie dobrého rána.

[Bedňa]

Tiež si dávam majzla, na to odkaiaĺ kto je. Ale v dnešnej dobe korpátov to stráca zmysel. Preto aj ten smajlík na konci.

[BMPOM]

Zdravíčko soudruhu.

[sid]

To si nemal pisat, to s tym redhat lebo zumpicka uz stavia oltarik s jeho foto.

[Hans]

Teď je doufat že to někdo ověří ze široka. Třeba min. Lenovo, Dell, Debian, M. Larabel...

[párek v rohlíku]

snapkill.org doména je volná btw

[Karel]

Protože snap nikoho nezajímá? :D

[pavele]

Bude to bezpečné, pokud budou snapy součástí linuxové distribuce - jejich repozitářů.

Jedině tak bude zabezpečena oprava (bezpečnostních) chyb.

Samotní autoři na nějakou bezpečnost kašlou, zabalí to a dělejte si s tím, co chcete a dejte si to kam chcete.

Jediný, kdo to pochopil, je RedHat, který si buduje svůj ekosystém a jako jediný na to má prostředky.

Chtěl bych vidět třeba Debian, ten to řeší tak, že kdo se nestará o balíček = odstranění z repa.

Chtěl bych vidět třeba Debian, ten to řeší tak, že kdo se nestará o balíček = odstranění z repa.

No a pak tady máme Ubuntu, kde 99% balíků v universe nemá aktivního maintainera, pouze se syncují z Debianu (a následně v případě LTS většinou několik let neaktualizují).

Ono ani není divu, dostat do Ubuntu SRU je děsný opruz.

[Michal]

Problem je, ze flatpak prezentuji jako sandbox - coz je rozhodne neni.

[Jacob]

+1

[Pichal]

Problem je, ze linux je prezentovan jako pouzitelny desktop s kvalitnim vyberem aplikaci. Coz rozhodne neni.

[Bedňa]

Bezpečnosť je podľa osobných preferencií, ty si našieľ zlatý Gráľ, kde je všetko vývážené? Vyveď nás zaslepených zo slepoty.