VSXu 0.6.0 (diskuse)

[Spitzbube]

ve formátu AppImage

Achjo, pořád tyhle sračky. Dokud se to nedostane do repozitáře Debiany Wheezy, tak to u mě šanci nemá. Nebudu si zaneřáďovat počítač takovým hnojem...

[xm]

Chápu proč chtít raději distribuční balíčky, taky je samozřejmě preferuji. Ale zaneřáďovat? AppImage nepotřebuje roota a nikam se neinstaluje, jen se mountuje, takže o zaneřáďování se rozhodně mluvit nedá. A druhak Wheezy? To je vtip? Kdyby jste aspoň řekl Jessie tak nic proti, ale mít takhle zastaralý systém na desktopu, to mi přijde opravdu mimo...

[xm]

Btw. jen pro zajímavost - i sám Linus Torvalds distribuuje svou aplikaci pro potápěče Subsurface ve formátu AppImage.

[Kate]

On si dovoluje nemít čas ubalit to pro 50 distribucí? Počkej, místní mu to vytmaví :D

[Michal Karas]

Chtěl jsem si to zkusit a na Gentoo mi ta Linusova aplikace nejede (VSXU ze zprávičky ano).

error while loading shared libraries: libselinux.so.1

[#83] Don't assume libselinux.so.1 to be present in the target systems

Ale ta myšlenka formátu pro aplikaci i se závislostmi se mi líbí. Jestli se ty aplikace stanou populární, tak stejně balíčky do distribucí časem vzniknou a autor má mezitím čas věnovat se samotné aplikaci, ne balení pro x nejpopulárnějších distribucí.

[xm]

Upřímně se mi osobně mnohem víc líbí Flatpak, protože na rozdíl od AppImage řeší i bezpečnost (používá kontejnerizaci). V tom bych spíš viděl budoucnost podobných formátů.

[Michal Karas]

Při zkoumání AppImage jsem našel v dokumentaci zmínku o možnosti sandboxingu prostřednictvím Firejail. V čem se to liší od Flatpaku?

Chápu to dobře, že Flatpak si ukládá knihovny někde bokem (Install runtime ve Flatpak Hello World), takže časem se někde v systému kupí různé verze runtime závislostí? V tom případě se mi asi více líbí AppImage - je to jednoduché, jeden soubor, jedna aplikace, rovnou spustitelné bez nutnosti cokoliv instalovat (v Gentoo není Flatpak v Portage, má jen overlay).

[xm]

Problém takového systému zcela bez žádných runtime specifikací, jako je AppImage, je v tom že se pak budou uživatelům hromadit aplikace co bundlují staré nezáplatované děravé verze knihoven (pak je tu ještě problém se zbytečnou velikostí, když si každá aplikace tahá půlku světa, ale to teď neřeším).

Flatpak jde v tomhle IMHO zlatou střední cestou, kombinuje výhody takového nezávislého balíčku (autor vytvoří a distribuuje jen jeden balíček spustitelný pod všemi distribucemi) s výhodami package manageru (autor balíčku specifikuje závislost na nějaké konkrétní runtime, o kterou už se postará Flatpak - již teď existují runtime pro Gnome, pro KDE, atp.).

[xm]

Samozřejmě tenhle přístup má i nevýhodu v tom, že vyžaduje, aby v dané distribuci byl dostupný Flatpak jako takový. Ale to je stejně nutné i kvůli kontejnerizaci (sandboxu), nejen kvůli správě runtimes.

[Michal Karas]

Mně se na AppImage líbí to, že jeho použití je vlastně takový doplněk k současnému způsobu distribuce aplikací v balíčcích. Jasně, má to nevýhodu v tom, že se vše tahá sebou a nemá to řešené bezpečnostní aktualizace (takže asi stejně jak na Windows, buď si aplikace hlídá aktualizace sama anebo smůla), ale beru to jako daň za to, že je to vlastně taková nouzovka, než k aplikaci vznikne plnohodnotný balíček.

Flatpak toho řeší evidentně více a tady vidím problém v tom, že už se ve funkcionalitě s balíčky překrývá. Jestli je například ten sandboxing tak důležitou součástí, znamená to, že by se měly aplikace instalovat flatpakem a přestat distribuovat jako se to dělá teď? Je po něčem takovém dostatečná poptávka?

[xm]

Co se týče sandboxingu AppImage, problémů je víc:

• sandbox není přímo povinnou součástí AppImage, doporučená je jen zcela nezávislá externí utilita, takže jej v reálu nakonec skoro nikdo používat nebude
• tím že není sandbox nijak integrovaný s balíčkem, autor balíčku ani nemůže nijak specifikovat detaily sandboxingu konkrétní aplikace (jinak řečeno povolené cesty ven ze sandboxu, whitelist souborů/cest/zařízení, atp. - něco jako třeba práva aplikací na Androidu)
• Firejail jako takový je hrozné bloated monstrum a už v něm bylo několik významných bezpečnostních problémů umožňujících získat roota (je to SUID binárka), Flatpak oproti tomu používá mnohem jednodušší, čistší a více auditovaný bubblewrap

[xm]

Pro zajímavost tady je specifikace těch práv sandboxovaných aplikací ve Flatpaku: Portals

[xm]

A ještě tady trochu detailněji (z pohledu KDE, ale i když nepoužíváte zrovna KDE, stojí za přečtení): KDE Flatpak Portals Introduction

[Ivan]

V distrubucich typu Debian anebo Fedora se dneska vic resi politika nez SW. Dostat (anebo jen vratit) balik do distribuce, je obrovsky opruz. Drive byl smysl distribuci v tom, ze umoznovaly vyvojarum aplikaci, snazsi cestu k uzivatelum. Tohle uz se dneska moc neresi. Systemy typu AppImage jsou v tomhle mnohem jednodussi.

Od distribuce se spis ocekava, ze doda stabilni system. O aktualni aplikace se uz uzivatel musi postarat sam. Podobne jako na Woknach, popr. na Macu.

[xm]

To záleží na konkrétní distribuci, takový Arch Linux stále poskytuje v naprosté většině případů nejnovější verze aplikací. Osobně bych na desktop nikdy nechtěl distribuci co nemá rolling updates.