![מעצבי אובונטו מציגים מראה חדש של 'כרטיסי ערכת כלים'](/f/f9c203257bf2d02d7956365c5bdb5466.png?width=100&height=100)
אתר אינטרנט שהושק לאחרונה מזהיר את המשתמשים מפני Flatpak, מיתוג הטכנולוגיה "סיוט ביטחוני".
ה 'Flatkills.org' דף האינטרנט מכוון למספר תביעות אבטחה הקשורות באופן שגרתי לפורמט האריזה וההפצה של אפליקציית Flatpak.
שלושה אזורים מסומנים על ידי האתר - שהוא כרגע עושה את הסיבובים ברשתות החברתיות - כי מחברו טוען כי לא ברור למשתמשים:
דוגמאות לליקויים לכאורה ניתנים על ידי כותב האתר, אשר ממשיך ומסיק כי:
"הדרך שבה אנו אורזים ומפיצים יישומי שולחן עבודה בלינוקס בוודאי שצריכה לחשוב מחדש, למרבה הצער, flatpak מציגה יותר בעיות ממה שהיא פותרת."
Flatkills.org שואל משתמשים שחושבים ש- Flatpak היא דרך בטוחה ומאובטחת לגרום לאפליקציות בלינוקס לחשוב שוב.
אבל האם הם צריכים?
בוטה למרות שהאתר הוויראלי ברור שהמחבר מאחוריו דואג לשולחן העבודה של לינוקס, ציפיות המשתמשים ואבטחת היישומים.
אחרי הכל: אף אחד לא מתאמץ להשיק אתר שלם אך ורק לצפצופים.
עם זאת, החששות הרשומים ב- Flatkills.org אינם לטעמי בעיות ב Flatpak עצמה אלא בהפצת אפליקציות לינוקס באופן כללי.
ראשית, כל תכונות האבטחה ש- Flatpak מציגה בתיעוד שלה ומייצרות איתן חומרי שיווק הם זמין. "הבעיה" היא שלא פקדים אלה אינם קיימים (הם קיימים) אלא שרוב מפתחי האפליקציות המפיצים אפליקציות Flatpak בוחרים שלא להשתמש בהם.
הבעיה היא שלא ארגז חול אינו קיים (הוא קיים) אלא ש- devs אפליקציות בוחרות שלא להשתמש בו
אפליקציות כמו GIMP, Vscode ו סוכרייה על מקל שולחים עם ערכות הרשאה רחבות (שהמשתמשים מודעים אליהן בעת ההתקנה באמצעות Flatpak CLI אך לא בהתקנת GUI) כברירת מחדל.
זה לא פגם בשום דבר חוץ ממוטיבציה; כדי שאפליקציות אלה 'יעשו מה שהם עושים' ארוזות רבות מבקשות בחינם הן גישה לקריאה/כתיבה לתיקיית הבית במקום להשתמש במנגנונים אחרים הזמינים.
שוב, המצב הזה אינו ייחודי לפלטפק או לחנות האפליקציות של Flathub. גם אפליקציות פופולריות רבות של Snap אינן משתמשות ב"הסתגרות קפדנית ".
אבל הגדרות הקשורות לארגז חול והרשאות (או היעדרן) נקבעות על ידי אריזת האפליקציות, לא על ידי יוצר הפורמט.
אולי Flatpak תוכל לפתוח תיבת דו -שיח של הרשאת GUI כדי לבקש הרשאת כתיבה של מערכת קבצים בהפעלה הראשונה? או רשום (שוב באמצעות GUI) אילו הרשאות נדרשת לאפליקציה לפני המשתמשים מתקינים אותו (כמו אנדרואיד בעבר)?
אבל אנחנו מדברים על טכנולוגיה שרק לאחרונה הגיעה לגרסה 1.0 - היא לא תגיע לשלמות בין לילה.
בשביל מה זה שווה מפתחי Flatpak עובדים על הרשאות אפליקציה משופרות דגם עם 'פורטלים‘. אלה מאפשרים שליטה פרטנית בהרשאות:
"פורטלים הם ממשקי API של אוטובוס הפעלות ברמה גבוהה המספקים גישה סלקטיבית למשאבים ליישומים בארגז חול. הציפייה המשתמעת של פורטלים היא שהמשתמש תמיד יהיה מעורב במתן או דחיית בקשת פורטל, ולכן רוב ממשקי ה- API של הפורטל יובילו לאינטראקציה של משתמשים בצורה של דיאלוגים. "
בין הפורטלים המתוכננים יש "בוחר קבצים". זה יספק אפליקציות בארגז חול עקיף גישה לקבצים, אך המשתמש שומר על אילו קבצים אפשר לפתוח או לא.
אפליקציות מקבלות את ההרשאות הדרושות להן כדי לפעול ביעילות, אך ללא החיסרון שיש להן הרשאה הכל.
אני מעריץ גדול של מודל הרשאה של יישומי Snap, המאפשרת לך להיכנס ולבטל את הרשאות האפליקציה בכל עת, הן לצילומים 'קפדניים' (שאינם יכולים לכתוב ל- ./*) וגם 'קלאסי' '(מה שיכולים), מתוכנת אובונטו. ל- Flatpak יש גם פקדים דומים, אם כי מה- CLI.
עם זאת, ושוב כמו אפליקציות Snap הפועלות במצב קלאסי, הרעיון של "ארגז חול" אינו ממש עמיד במים כפי שעולה מיתרונות השיווק.
אבל אם הרעיון של Flatpaks ליהנות מגישה חסרת מעצורים לתיקיית הבית שלך עשוי להישמע מפחיד אבל אם תתקין אפליקציות מ- הצעות מחיר לרכישה, OBS או מאגרי צד שלישי אחרים שאתה נחשף לאותם סיכונים רק גרוע יותר-לאפליקציות האלה יהיו שורש!
Flatpak היא עדיין טכנולוגיה חדשה (יחסית). זה אולי קצת לא הוגן לצפות שהוא יתן מענה לכל מקרה השימוש, תרחישים ובעיות בשטח. כמו כל טכנולוגיית קוד פתוח טובה, מתפתחת Flatpak, וכך גם המערכת האקולוגית ואלה שבתוכה.
כמו כן: Flatpak ≠ Flathub; distros יכולה (בתיאוריה) לארח את חנות Flatpak שלהם עם דרישות עדכון או דרישות מודל הרשאה מחמירות יותר.
בצד החיובי, פתרונות יופיעו כאשר וכאשר בעיות יסומנו. וככל ש- Flatpak הופך יותר פופולרי לאנשים יהיו יותר דעות על זה, לא כולן מעודדות. אבל שיח פתוח הוא חלק תקף מתהליך הקוד הפתוח.
אתר Flatkills בוטה (ואולי קצת דרמטי) אך הוא נוגע בנקודות מחלוקת אשר בלבם תקפות ועושות, בדרכים שונות, עבודה או עידון נוסף.
אבל בניגוד לאתר אני לא חושב שצריך "לחשוב מחדש" על Flatpak, רק להבין טוב יותר את התכונות והיכולות שהוא תומך - ולפעמים לא - תומך בו.
הכל אובונטו, יומי. מאז 2009.