forum.opennet.ru - "Выпуск Bubblewrap 0.8, прослойки для создания изолированных окружений " (57)

"Выпуск Bubblewrap 0.8, прослойки для создания изолированных окружений "

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск Bubblewrap 0.8, прослойки для создания изолированных окружений "	+/–
Сообщение от opennews (??), 28-Фев-23, 09:22
Доступен выпуск инструментария для организации работы изолированных окружений Bubblewrap 0.8, как правило используемый для ограничения отдельных приложений непривилегированных пользователей. На практике Bubblewrap применяется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений. Код проекта написан на языке Си и распространяется под лицензией LGPLv2+... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=58721
Ответить \| Правка \| Cообщить модератору

Оглавление

флатпаки и прочее явно не панацея от поломанных зависимостей, Аноним (-), 09:22 , 28-Фев-23, (1) +3

Случай, когда во flatpak зависимости ломаются приведешь Или ты так, набросить , SkylerX (ok), 09:52 , 28-Фев-23, (9) +4

Когда тебе надо откатится на старую версию софта во флатпаке Для это надо зайти, Аноним (17), 10:21 , 28-Фев-23, (17) +1

Но ведь это уже не про зависимости, а плохую особенность флатпака, Аноним (20), 10:37 , 28-Фев-23, (20)

Если ты от старой версии зависишь, то проблема сразу становится про зависимости , Аноним (17), 11:43 , 28-Фев-23, (26) +1

Пользуйся Nix, там такой проблемы нет в принципе , Аноним (43), 19:12 , 28-Фев-23, (43) +1
Это что, в этих супер-пупер пакетных менеджерах по прежнему нельзя установить , BrainFucker (ok), 20:48 , 28-Фев-23, (45) +2

А этот твой flatpak он что, заговорённый Так-то там тоже зависимости есть И от , AlexYeCy_not_logged (?), 12:17 , 28-Фев-23, (30) +1

Вы про это code Freedesktop Platform org freedesktop Platf, Shevchuk (ok), 19:15 , 02-Мрт-23, (59)

Они же зависят только от общего для всех контейнеров bundle И ABI не меняется к, Аноним (16), 10:13 , 28-Фев-23, (16)
А зависимости зло- Не вижу проблем в составе дистрибутива софта иметь все нео, Прохожий (??), 10:42 , 28-Фев-23, (21) –1

Если оно терабайтами будет жраться, то это станет проблемой для очень и очень мн, AlexYeCy_not_logged (?), 12:24 , 28-Фев-23, (31) +3

Расскажи, что там у тебя в системе на 30, 50, и даже 100 гигов Прон заныканный , Аноним (43), 19:12 , 28-Фев-23, (42) –1

Думаю, что у него там 100 Гб логов насобиралось, Аноним (44), 19:49 , 28-Фев-23, (44) –2
usr 25 Gib var lib flatpak 5 5 GiB 3 три программулины И почти 20 от пр, AlexYeCu_not_logged (?), 21:30 , 28-Фев-23, (48) +1

Ах да, ещё share увесистый Ну и swapfile динамический может разжиреть , AlexYeCu_not_logged (?), 21:33 , 28-Фев-23, (49)
Для сравнения другой пример flatpak list --app 124 wc -l124 flatpak list --, Аноним (66), 22:45 , 03-Мрт-23, (66)

Не видь Это не отменяет твоей слепоты, а не правоты , Тот_Самый_Анонимус_ (?), 22:17 , 28-Фев-23, (50)
Проблема не только в занимаемом месте на накопителе Ещё - в потреблении оператив, Аноним (66), 22:07 , 03-Мрт-23, (65)

годная вещь, Аноним (2), 09:25 , 28-Фев-23, (2)

поясните я не совсем понял зачем оно, Аноним (3), 09:27 , 28-Фев-23, (3) +1

Чтобы разработчику голову не забивать наборами библиотек дистрибутивов, которых , SkylerX (ok), 09:55 , 28-Фев-23, (10) –1

Ну и приятные плюшки для безопасности и стабильности за счет изоляции от системы, SkylerX (ok), 09:58 , 28-Фев-23, (11) –3
Ты имел в виду через жп работает и не возможно пользоваться Большинство пользов, Аноним (13), 10:00 , 28-Фев-23, (13) +1

В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры , Аноним (17), 10:22 , 28-Фев-23, (18) –1

Насильно- правильно Просто отрубают то что не подходит - вот и всё Либо ставиш, Бывалый смузихлёб (?), 10:36 , 28-Фев-23, (19) +1

Но вы же всегда можете скачать исходный код и скомпилировать Исходный код свобо, Аноним (16), 11:21 , 28-Фев-23, (24) –1

Мы можем Но выше написали про яблочников , Аноним (37), 16:26 , 28-Фев-23, (37) +2

Яблочники сделали правильно и хорошо LFS и Линукс сделали всё неправильно и пло, Аноним (47), 21:12 , 28-Фев-23, (47) –2

Как бы да, но у XCode нет свободного ПОСлава Богам, что есть Опенкор, позволяющи, Бывалый смузихлёб (?), 17:55 , 01-Мрт-23, (56)

Т е XCode должен зависеть от 6 гигов системных библиотек и весить 1 гиг Но зач, Аноним (17), 11:45 , 28-Фев-23, (27) +2

Ууу, пацан, ты ещё многого не знаешь Вот обновляются, например, шланг или гнут, Бывалый смузихлёб (?), 16:27 , 28-Фев-23, (38) –1

Так всё что ты описал это правильно и надёжно Так и должно быть Или что правил, Аноним (47), 21:11 , 28-Фев-23, (46) –1

Неправильно, когда какое-нибудь обновление свифта с 5 2 на 5 4 подразумевает обн, Бывалый смузихлёб (?), 16:21 , 01-Мрт-23, (55) +1

В гробу я видал такую 171 правильность 187 , AlexYeCy_not_logged (?), 12:26 , 28-Фев-23, (32) –1

Bubblewrap flatpak, Самый умный из вас (?), 11:14 , 28-Фев-23, (22) –1
Это всегда была забота мэнтейнера пакета в конкретном дистрибутиве , YetAnotherOnanym (ok), 15:07 , 28-Фев-23, (35) –1

никто точно не знает, Аноним (36), 15:15 , 28-Фев-23, (36) +1

Запускать вложенный баблврап из уже созданного баблврап-окружения научились , Самый умный из вас (?), 11:17 , 28-Фев-23, (23) +2

Там это, вложенный unshare конечно работает, но совсем не так, как хотелось бы п, Аноним (13), 11:51 , 28-Фев-23, (28)

Nixos-specific, Самый умный из вас (?), 14:25 , 28-Фев-23, (34) –1

В NixOS вообще нет изоляции приложений А вот используй они bwrap --bind для с, Аноним (66), 21:45 , 03-Мрт-23, (63)

И чем это лучше, чем firejail , Аноним (29), 12:09 , 28-Фев-23, (29) +2

firejail - это блоатварь, а как и в любой другой блоатвари, в firejail неоднокра, Аноним (33), 14:07 , 28-Фев-23, (33) –1

А уязвимости эти эксплуатирются удалено али как , Аноним (39), 16:53 , 28-Фев-23, (39)
Срочно на раст переписать надо, не иначе , Аноним (29), 18:43 , 28-Фев-23, (41) +1

думаешь загасить одни уязвимости другими , Аноним (51), 22:29 , 28-Фев-23, (51) +1

Уязвимости в bubblewrap https cve mitre org cgi-bin cvekey cgi keyword bubblew, Вы забыли заполнить поле Name (?), 23:17 , 28-Фев-23, (52) –1

способов атаковать firejail на порядки больше, чем сабж Просто потому, что сабж, Аноним (33), 06:37 , 01-Мрт-23, (54)

firejail решает задачу изоляции для любого бинарника, это может быть консольная , Вы забыли заполнить поле Name (?), 21:40 , 02-Мрт-23, (60)

Это проблема курицы и яйца Чтобы настроить контейнер нужны привилегии Либо sui, Вы забыли заполнить поле Name (?), 23:18 , 28-Фев-23, (53) –1
В твоей цитате из новости лишь малая часть правды Ядро собранное с включенным CO, Аноним (66), 21:26 , 03-Мрт-23, (62)

Network namespaces будут , Аноним (40), 18:15 , 28-Фев-23, (40)

Они там изначально Дополнительные настройки реализуются в другом месте, см pas, Аноним (33), 07:29 , 02-Мрт-23, (57)

Ну вот чуть влево вправо все реализуется отдельно Зачем тогда сравнение с firej, Вы забыли заполнить поле Name (?), 21:41 , 02-Мрт-23, (61)

Это называется Unix-way Полагаю, сравнение демонстрирует одно из достоинств Bub, Аноним (66), 21:48 , 03-Мрт-23, (64)

Суть в том, что по функционалу сам по себе он умеет сильно меньше, чем firejail , Вы забыли заполнить поле Name (?), 16:14 , 04-Мрт-23, (67)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (-), 28-Фев-23, 09:22 +3 +/–

флатпаки и прочее явно не панацея от поломанных зависимостей

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #16, #21

2. Сообщение от Аноним (2), 28-Фев-23, 09:25 +/–

годная вещь

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3

3. Сообщение от Аноним (3), 28-Фев-23, 09:27 +1 +/–

поясните я не совсем понял зачем оно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #10, #36

9. Сообщение от SkylerX (ok), 28-Фев-23, 09:52 +4 +/–

Случай, когда во flatpak зависимости ломаются приведешь? Или ты так, набросить?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #17, #30

10. Сообщение от SkylerX (ok), 28-Фев-23, 09:55 –1 +/–

Чтобы разработчику голову не забивать наборами библиотек дистрибутивов, которых миллион. Если работает флатпак значит 99.9% шанс, что будет работать содержимое flathub

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #11, #13, #22, #35

11. Сообщение от SkylerX (ok), 28-Фев-23, 09:58 –3 +/–

Ну и приятные плюшки для безопасности и стабильности за счет изоляции от системы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

13. Сообщение от Аноним (13), 28-Фев-23, 10:00 +1 +/–

Ты имел в виду через жп работает и не возможно пользоваться? Большинство пользователей после этого удаляют линукс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #18

16. Сообщение от Аноним (16), 28-Фев-23, 10:13 +/–

Они же зависят только от общего для всех контейнеров bundle. И ABI не меняется какое-то время. Даже между дистрибутивами.
Почем панацея и что тогда панацея?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

17. Сообщение от Аноним (17), 28-Фев-23, 10:21 +1 +/–

Когда тебе надо откатится на старую версию софта во флатпаке. Для это надо зайти в лог коммитов и откатится на один из коммитов, но выясняется что он хранит только последние 10 коммитов. А если ты даже знаешь номер старого коммита то ты откатится на него не можешь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #20, #43, #45

18. Сообщение от Аноним (17), 28-Фев-23, 10:22 –1 +/–

В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #19, #32

19. Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 10:36 +1 +/–

Насильно-"правильно". Просто отрубают то что не подходит - вот и всё.
Либо ставишь потом то что правильно, либо - сидишь без ПО
А ведь тот же новый  XCode  у яблока - это порядка 7 Гб установочника, который, не дай Боги, хотя бы единственную проблему словит в ходе скачивания - тогда всё заново

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #24, #27

20. Сообщение от Аноним (20), 28-Фев-23, 10:37 +/–

Но ведь это уже не про зависимости, а плохую особенность флатпака

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #26

21. Сообщение от Прохожий (??), 28-Фев-23, 10:42 –1 +/–

А зависимости зло-))) Не вижу проблем в составе дистрибутива софта иметь все необходимые ему компоненты, место на винте, давно не актуальный параметр

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #31, #50, #65

22. Сообщение от Самый умный из вас (?), 28-Фев-23, 11:14 –1 +/–

Bubblewrap != flatpak

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

23. Сообщение от Самый умный из вас (?), 28-Фев-23, 11:17 +2 +/–

Запускать вложенный баблврап из уже созданного баблврап-окружения научились?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28

24. Сообщение от Аноним (16), 28-Фев-23, 11:21 –1 +/–

Но вы же всегда можете скачать исходный код и скомпилировать. Исходный код свободного ПО (и даже не совсем свободного) у вас никто не отберет.
Более того можете взять LFS и сидеть компилировать до посинения.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #37, #56

26. Сообщение от Аноним (17), 28-Фев-23, 11:43 +1 +/–

Если ты от старой версии зависишь, то проблема сразу становится про зависимости)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

27. Сообщение от Аноним (17), 28-Фев-23, 11:45 +2 +/–

Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1 гиг? Но зачем?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #38

28. Сообщение от Аноним (13), 28-Фев-23, 11:51 +/–

Там это, вложенный unshare конечно работает, но совсем не так, как хотелось бы пользователю. Поэтому не понятно, чего ты вообще хочешь от него.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #34

29. Сообщение от Аноним (29), 28-Фев-23, 12:09 +2 +/–

>Для выполнения привилегированных операций по настройке контейнера Bubblewrap запускается с правами root (исполняемый файл c suid-флагом) с последующим сбросом привилегий после завершения инициализации контейнера.
И чем это лучше, чем firejail?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #33, #53, #62

30. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:17 +1 +/–

>Случай, когда во flatpak зависимости ломаются приведешь?
А этот твой flatpak он что, заговорённый?
Так-то там тоже зависимости есть. И от принципа «всё своё ношу с собой» разрабы flatpak собираются отказываться уж не первый год как: оказывается, если таких пакетов в системе не два — три, то вопрос экономии дискового пространства становится весьма актуальным. Одно дело, когда две или три программулины весом до ста метров занимают по полтора — два гига (а то и больше) каждая, другое дело, когда таких программулин надо установить штук 30, да ещё предусмотреть место для бэкапа корня. И вот чтобы с этим бороться, собираются применять (не начали ещё?) разделяемые среды. Ну т.е объединить все возможные минусы от смешения нескольких подходов, как нынче модно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #59

31. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:24 +3 +/–

>место на винте, давно не актуальный параметр
Если оно терабайтами будет жраться, то это станет проблемой для очень и очень многих. а уж если речь не про десктоп, и не про сервер, то и подавно. Нужны бэкапы — добавляй к проблемам множитель.
К тому же, распухший / это не только сожранное место на дисках. Вот у меня раньше система была на разделе в  30 гигов. Раньше — это ещё лет 5 назад. Потом 50, теперь 100. И ладно место, но оно теперь побайтово копируется на nas и обратно в разы дольше. И да, три flatpak-а (которые содержат софт, раньше вполне себе устанавливающийся из системных реп) тут тоже сыграли роль, причём заметную. Прибавила ли моя система в функционале, удобстве и прочем в связи с ростом занимаемого пространства? Нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #42

32. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:26 –1 +/–

>В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны.
В гробу я видал такую «правильность».

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

33. Сообщение от Аноним (33), 28-Фев-23, 14:07 –1 +/–

firejail - это блоатварь, а как и в любой другой блоатвари, в firejail неоднократно находили уязвимости. Да такие, что без fairjail было бы безопаснее, чем с ним. Такой вот парадокс. Ну а сабж тем временем дает истинно минимальный функционал, основанный исключительно на неймспейсах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #39, #41, #52

34. Сообщение от Самый умный из вас (?), 28-Фев-23, 14:25 –1 +/–

Nixos-specific

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #63

35. Сообщение от YetAnotherOnanym (ok), 28-Фев-23, 15:07 –1 +/–

Это всегда была забота мэнтейнера пакета в конкретном дистрибутиве.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

36. Сообщение от Аноним (36), 28-Фев-23, 15:15 +1 +/–

> зачем оно
никто точно не знает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

37. Сообщение от Аноним (37), 28-Фев-23, 16:26 +2 +/–

Мы можем. Но выше написали про яблочников.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #47

38. Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 16:27 –1 +/–

> Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1
> гиг? Но зачем?
Ууу, пацан, ты ещё многого не знаешь...
Вот обновляются, например, шланг или гнутый или, даже, вижуал студио для соответствия с новыми веяниями языка...
На винде или линуксе ты просто скачаешь новый пакет/приложение/сборку - и кайфуешь
И только на яблоке, если обновления старше чем 1год относительно текущей оси... тебе, чтобы возрадоваться новым плюшкам компилятора, прежде надо обновить ОСь 10Гб ), после - XCode( ~10 Гб ) - и это при условии что железо поддерживаемо а тырнет - абсолютно стабилен, ведь яблоко при любом чихе начинает загрузку с нуля ! )
И это без учёта того, что яблоко ежегодно выкидывает часть железа как неподдерживаемое. Слава Богам что есть опенкор и на интелловских процах( с амд-шными тонны гемора ) начиная от коффе-лейк ещё можно поставить яблочную ОСь с нативной поддержкой и проца и интегрированной графики( только чутка подпатчить. С Энвидией вообще никакие пляски не спасут ибо выпилена подчистую. Но там хотя бы аймак 19,1 )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #46

39. Сообщение от Аноним (39), 28-Фев-23, 16:53 +/–

А уязвимости эти эксплуатирются удалено али как?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

40. Сообщение от Аноним (40), 28-Фев-23, 18:15 +/–

Network namespaces будут?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #57

41. Сообщение от Аноним (29), 28-Фев-23, 18:43 +1 +/–

>в firejail неоднократно находили уязвимости
Срочно на раст переписать надо, не иначе!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #51

42. Сообщение от Аноним (43), 28-Фев-23, 19:12 –1 +/–

Расскажи, что там у тебя в системе на 30, 50, и даже 100 гигов? Прон заныканный от мамки в /var/lib/cache? Не считая полтора терабайта пользовательских данных, система с кучей внутренних сервисов и системой сборки занимает 14 гигов. Декстоп с GNOME — 8,5, включая снапшоты. Как ты на ста гигах поместиться не можешь — загадка века, но флатпак тут явно не при чём.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #44, #48

43. Сообщение от Аноним (43), 28-Фев-23, 19:12 +1 +/–

Пользуйся Nix, там такой проблемы нет в принципе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

44. Сообщение от Аноним (44), 28-Фев-23, 19:49 –2 +/–

Думаю, что у него там 100 Гб логов насобиралось

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

45. Сообщение от BrainFucker (ok), 28-Фев-23, 20:48 +2 +/–

> Когда тебе надо откатится на старую версию софта во флатпаке.
Это что, в этих "супер-пупер" пакетных менеджерах по прежнему нельзя установить параллельно разные версии одного и того же софта? Мда, а дифирамбов-то этим блоатваре сколько было...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

46. Сообщение от Аноним (47), 28-Фев-23, 21:11 –1 +/–

Так всё что ты описал это правильно и надёжно. Так и должно быть. Или что правильно это для свежатинки сделать ./configure; make; make install а потом несколько дней разбирать лапшу зависимостей по одной? А потом разгребать куда же это всё установилось размазавшись по системе тонким слоем? Или правильно ныть что мейнтенеры не соизволили собрать свежатинку? Или вообще ждать ебилдов?
Какая вообще проблема взять да и обновится на маке? Типа ты потеряешь несколько часов своего итак ничего не делания? Кеши хранить ты что скопидом? А если кеши повредится или его специально заменят? Денег на трафик и железо нет? А зачем эплу поддерживать убожество которое ухудшает пользовательский опыт? Чтобы ты бедняк смог сэкономить? Зачем эплу нужно чтобы ты экономил? Весь твой коммент с точки зрения нормального человека бред. Эпл всё делает правильно. А ты делаешь всё неправильно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #55

47. Сообщение от Аноним (47), 28-Фев-23, 21:12 –2 +/–

Яблочники сделали правильно и хорошо. LFS и Линукс сделали всё неправильно и плохо. Поэтому линуксом на обычных компах никто не пользуется из нормальных людей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

48. Сообщение от AlexYeCu_not_logged (?), 28-Фев-23, 21:30 +1 +/–

>Расскажи, что там у тебя в системе на 30, 50, и даже 100 гигов?
/usr 25+ Gib.
/var/lib/flatpak 5.5 GiB. 3 (три!) программулины. И почти 20% от прочего софта со всеми потрохами.
Весь остальной /var около 2 GiB.
/opt столько же.
Хомяк и тому подобное на других разделах.
Итого занято чуть больше полтинника. Плюс задел под обновление.
Ты вообще в курсе, как обновление с релиза на релиз происходит? Не, так-то можно и /opt куда-нибудь перемонтировать, и system-upgrade, и flatpak-помойку. Но это, знаешь ли, напрягает.
>Прон заныканный от мамки в /var/lib/cache?
Деточка, не надо проецировать на других. Если даже дяде оно и понадобится, у дяди быстрый интернет. И даже если пожилая мама приедет к дяде в гости, она один шут не сможет найти ни фильмы твоего любимого жанра, ни что-либо ещё, где бы это что-то ни находилось.  Дядя ей инструкции по очистке смс с кнопочного телефона регулярно пишет и телепрограммы настраивает.
>система с кучей внутренних сервисов и системой сборки занимает 14 гигов
Твоя система, дитя. Твоя.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #49, #66

49. Сообщение от AlexYeCu_not_logged (?), 28-Фев-23, 21:33 +/–

Ах да, ещё /share увесистый. Ну и swapfile динамический может разжиреть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

50. Сообщение от Тот_Самый_Анонимус_ (?), 28-Фев-23, 22:17 +/–

Не видь. Это не отменяет твоей слепоты, а не правоты.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

51. Сообщение от Аноним (51), 28-Фев-23, 22:29 +1 +/–

думаешь загасить одни уязвимости другими?!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

52. Сообщение от Вы забыли заполнить поле Name (?), 28-Фев-23, 23:17 –1 +/–

>  в firejail неоднократно находили уязвимости.
Уязвимости в bubblewrap https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=bubblewrap - это, конечно, другое.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #54

53. Сообщение от Вы забыли заполнить поле Name (?), 28-Фев-23, 23:18 –1 +/–

> И чем это лучше, чем firejail?
Это проблема курицы и яйца. Чтобы настроить контейнер нужны привилегии. Либо suid, либо как в докере.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

54. Сообщение от Аноним (33), 01-Мрт-23, 06:37 +/–

способов атаковать firejail на порядки больше, чем сабж. Просто потому, что сабж -- это просто прослойка над linux namespaces (читай: unshare(2) заэкспортировали в виде шелл-скриптуемого бинаря). firejail тем временем пытается быть решением под ключ, и его кривая реализация распространяется много дальше неймспейсов. Поэтому что в прошлом, что в будущем - firejail всегда будет давать заметно большее кол-во CVE.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #60

55. Сообщение от Бывалый смузихлёб (?), 01-Мрт-23, 16:21 +1 +/–

Неправильно, когда какое-нибудь обновление свифта с 5.2 на 5.4 подразумевает обновление XCode, которое подразумевает обновление ОСи. Без каких-либо вариантов выбора. Неправильно, когда даже минорное обновление ЯП может требовать полную переустановку IDE и вообще всей ОС. Ещё и со стартом загрузки сначала на любой чих ведь они до сих пор не поддерживают докачку.
Яблоко вертело  и плевало на пользовательский опыт и прочую ерунду
И даже если всё пройдёт нормально( что совсем не обязательно ) - нет никаких гарантий, что иные данные и ПО после обновления не отвалятся( и не факт что они ещё поддерживаются )
В районе Каталины, например, яблоко просто взяло - и запретило вообще всё 32-битное, включая вайн и старые штуки через него запускаемые. Вот просто нет и всё.
Тут с некоторой тоской вспоминается вижуал студио, который не требует переустановки ОС на каждое обновление C++ или C#
Вообще-то, никто не требует кроме яблока и икс-кода
А уж обновление я-оси на я-фоне... там перед каждым лучше полную копию сделать и загрузить образ новой прошивки, иначе хорошие шансы получить кирпич или, в лучшем случае, рабочее но полностью сброшенное устройство

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

56. Сообщение от Бывалый смузихлёб (?), 01-Мрт-23, 17:55 +/–

> Но вы же всегда можете скачать исходный код и скомпилировать. Исходный код
> свободного ПО (и даже не совсем свободного) у вас никто не
> отберет.
> Более того можете взять LFS и сидеть компилировать до посинения.
Как бы да, но у XCode нет свободного ПО
Слава Богам, что есть Опенкор, позволяющий ставить яблочную ОСь даже на ноутбучные амд ( харам !! ) . Но свежая энвидиа всё равно не поддерживается - только амд радеон

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

57. Сообщение от Аноним (33), 02-Мрт-23, 07:29 +/–

Они там изначально. Дополнительные настройки реализуются в другом месте, см. passt(1).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #61

59. Сообщение от Shevchuk (ok), 02-Мрт-23, 19:15 +/–

Вы про это?

> unbuffer flatpak list | rg -i platform
Freedesktop Platform                      org.freedesktop.Platform               21.08.18
Freedesktop Platform                      org.freedesktop.Platform               22.08.8
Mesa                                      org.freedesktop.Platform.GL.default    21.3.9
Mesa                                      org.freedesktop.Platform.GL.default    22.3.5
Mesa (Extra)                              org.freedesktop.Platform.GL.default    22.3.5
Mesa git snapshot                         org.freedesktop.Platform.GL.mesa-git   23.0-branchpoint-2174-ge7c5a8b3f8f
ffmpeg-full                               org.freedesktop.Platform.ffmpeg-full
ffmpeg-full                               org.freedesktop.Platform.ffmpeg-full
openh264                                  org.freedesktop.Platform.openh264      2.1.0
openh264                                  org.freedesktop.Platform.openh264      2.1.0
openh264                                  org.freedesktop.Platform.openh264      2.1.0
GNOME Application Platform version 42     org.gnome.Platform
GNOME Application Platform version 43     org.gnome.Platform
KDE Application Platform                  org.kde.Platform
KDE Application Platform                  org.kde.Platform
Довольно удобно: например, если есть баг в работе приложения с платформой/драйвером, я спокойно могу сказать использовать другую, ничего не меняя в приложении или системе
flatpak run --runtime-version=21.08 <app>
— и всё будет работать (а остальные приложения продолжат работать со своей дефолтной платформой). Встроенными средствами дистрибутива мне бы пришлось откатывать, условно, драйвера для всей системы. Нормально без флатпака такое наверное могут только nix/guix.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

60. Сообщение от Вы забыли заполнить поле Name (?), 02-Мрт-23, 21:40 +/–

> способов атаковать firejail на порядки больше, чем сабж. Просто потому, что сабж
> -- это просто прослойка над linux namespaces (читай: unshare(2) заэкспортировали в
> виде шелл-скриптуемого бинаря). firejail тем временем пытается быть решением под ключ,
> и его кривая реализация распространяется много дальше неймспейсов. Поэтому что в
> прошлом, что в будущем - firejail всегда будет давать заметно большее
> кол-во CVE.
firejail решает задачу изоляции для любого бинарника, это может быть консольная утилита или графическое приложение, не важно как я его установил себе: пакетом или просто скачал бинарь. К тому же у firejail поддерживает профили для большинства приложений из коробки. Как подобного добиться с bubblewrap? Использовать flatpack? Но это навязывание способа установки софта и соответствующей инфраструктуры откуда эти пакеты брать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

61. Сообщение от Вы забыли заполнить поле Name (?), 02-Мрт-23, 21:41 +/–

> Они там изначально. Дополнительные настройки реализуются в другом месте, см. passt(1).
Ну вот чуть влево вправо все реализуется отдельно. Зачем тогда сравнение с firejail?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #64

62. Сообщение от Аноним (66), 03-Мрт-23, 21:26 +/–

В твоей цитате из новости лишь малая часть правды.
Ядро собранное с включенным CONFIG_USER_NS_UNPRIVILEGED (например, штатные ядра в Арче, кроме linux-hardened) позволяет поставлять bwrap без suid бита (например, как в штатном пакете bubblewrap в Арче) и, следовательно, запускать с привилегиями обычного пользователя. Firejail стартует только под рутом (SUID) или придётся выкинуть из него все фичи, вроде тонкой настройки сети, без которых он превратится в перегруженную версию bwrap'а.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

63. Сообщение от Аноним (66), 03-Мрт-23, 21:45 +/–

В NixOS вообще нет изоляции приложений. А вот используй они bwrap (--bind) для создания окружения вместо кучи симлинок, была бы и изоляция процессов, и порядок в ФС, и патчей сборки стало бы меньше. Но не шмогла.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

64. Сообщение от Аноним (66), 03-Мрт-23, 21:48 +/–

Это называется Unix-way. Полагаю, сравнение демонстрирует одно из достоинств Bubblewrap - модульность.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #67

65. Сообщение от Аноним (66), 03-Мрт-23, 22:07 +/–

Проблема не только в занимаемом месте на накопителе.
Ещё - в потреблении оперативной памяти, растущем с каждой запущенной программой, слинкованной со своими "неповторимыми" версиями общих зависимостей.
А самая большая проблема кроется в актуальности (обнаруженных уязвимостей для) зависимостей, исключить которую можно только своевременным, централизованным их обновлением.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

66. Сообщение от Аноним (66), 03-Мрт-23, 22:45 +/–

Для сравнения другой пример.
$ flatpak list --app |wc -l
124
$ flatpak list --runtime |wc -l
48
$ btrfs filesystem du -s /var/lib/flatpak
   Total   Exclusive  Set shared  Filename
22.34GiB    22.03GiB   257.19MiB  /var/lib/flatpak
За редкими исключениями, это почти все графическое прикладное ПО в системе, в том числе игры (Mindustry, Wesnoth и что-то ещё). Плюс, аудио- и видеокодеки, Wine и Proton-GE Runtime, SDK для языков программирования (LLVM, MinGW, Vala, Java, Dotnet, Rust, Golang).
Что в сравнении с твоим примером:
Количество программ ~ x40
Потребление места на диске ~ x4
Выводы делай сам. Меня устраивает.
--
Меня в Flathub'е куда больше беспокоит слабый контроль за тем кто, когда и как пакетирует. Нередко ПО обновляется с запозданиями, в сравнении с роллинг-дистрибутивами, а иногда даже на полгода-год. Часто пакеты пакетируют с устаревшими зависимостями или долго не обновляют рантайм, даже когда нет проблем с API/ABI, зато есть известные уязвимости в старом. Некоторые официальные поставщики ПО не вызывают доверия. Исполняемые файлы хранятся в ФС с привилегиями пользователя. Доступ программам в песочнице выдается довольно широко. Вкупе, озвученные проблемы создают дополнительные риски безопасности системы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

67. Сообщение от Вы забыли заполнить поле Name (?), 04-Мрт-23, 16:14 +/–

> Это называется Unix-way. Полагаю, сравнение демонстрирует одно из достоинств Bubblewrap
> - модульность.
Суть в том, что по функционалу сам по себе он умеет сильно меньше, чем firejail. Этот как сравнивать grep с vim и говорить, что в первом меньше уязвимостей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (-), 28-Фев-23, 09:22	+3 +/–
флатпаки и прочее явно не панацея от поломанных зависимостей
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #16, #21

2. Сообщение от Аноним (2), 28-Фев-23, 09:25	+/–
годная вещь
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3

3. Сообщение от Аноним (3), 28-Фев-23, 09:27	+1 +/–
поясните я не совсем понял зачем оно
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #10, #36

9. Сообщение от SkylerX (ok), 28-Фев-23, 09:52	+4 +/–
Случай, когда во flatpak зависимости ломаются приведешь? Или ты так, набросить?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #17, #30

10. Сообщение от SkylerX (ok), 28-Фев-23, 09:55	–1 +/–
Чтобы разработчику голову не забивать наборами библиотек дистрибутивов, которых миллион. Если работает флатпак значит 99.9% шанс, что будет работать содержимое flathub
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #11, #13, #22, #35

11. Сообщение от SkylerX (ok), 28-Фев-23, 09:58	–3 +/–
Ну и приятные плюшки для безопасности и стабильности за счет изоляции от системы
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

13. Сообщение от Аноним (13), 28-Фев-23, 10:00	+1 +/–
Ты имел в виду через жп работает и не возможно пользоваться? Большинство пользователей после этого удаляют линукс.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #18

16. Сообщение от Аноним (16), 28-Фев-23, 10:13	+/–
Они же зависят только от общего для всех контейнеров bundle. И ABI не меняется какое-то время. Даже между дистрибутивами. Почем панацея и что тогда панацея?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

17. Сообщение от Аноним (17), 28-Фев-23, 10:21	+1 +/–
Когда тебе надо откатится на старую версию софта во флатпаке. Для это надо зайти в лог коммитов и откатится на один из коммитов, но выясняется что он хранит только последние 10 коммитов. А если ты даже знаешь номер старого коммита то ты откатится на него не можешь.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #20, #43, #45

18. Сообщение от Аноним (17), 28-Фев-23, 10:22	–1 +/–
В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #19, #32

19. Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 10:36	+1 +/–
Насильно-"правильно". Просто отрубают то что не подходит - вот и всё. Либо ставишь потом то что правильно, либо - сидишь без ПО А ведь тот же новый XCode у яблока - это порядка 7 Гб установочника, который, не дай Боги, хотя бы единственную проблему словит в ходе скачивания - тогда всё заново
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #24, #27

20. Сообщение от Аноним (20), 28-Фев-23, 10:37	+/–
Но ведь это уже не про зависимости, а плохую особенность флатпака
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #26

21. Сообщение от Прохожий (??), 28-Фев-23, 10:42	–1 +/–
А зависимости зло-))) Не вижу проблем в составе дистрибутива софта иметь все необходимые ему компоненты, место на винте, давно не актуальный параметр
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #31, #50, #65

22. Сообщение от Самый умный из вас (?), 28-Фев-23, 11:14	–1 +/–
Bubblewrap != flatpak
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

23. Сообщение от Самый умный из вас (?), 28-Фев-23, 11:17	+2 +/–
Запускать вложенный баблврап из уже созданного баблврап-окружения научились?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #28

24. Сообщение от Аноним (16), 28-Фев-23, 11:21	–1 +/–
Но вы же всегда можете скачать исходный код и скомпилировать. Исходный код свободного ПО (и даже не совсем свободного) у вас никто не отберет. Более того можете взять LFS и сидеть компилировать до посинения.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #37, #56

26. Сообщение от Аноним (17), 28-Фев-23, 11:43	+1 +/–
Если ты от старой версии зависишь, то проблема сразу становится про зависимости)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20

27. Сообщение от Аноним (17), 28-Фев-23, 11:45	+2 +/–
Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1 гиг? Но зачем?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #38

28. Сообщение от Аноним (13), 28-Фев-23, 11:51	+/–
Там это, вложенный unshare конечно работает, но совсем не так, как хотелось бы пользователю. Поэтому не понятно, чего ты вообще хочешь от него.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #34

29. Сообщение от Аноним (29), 28-Фев-23, 12:09	+2 +/–
>Для выполнения привилегированных операций по настройке контейнера Bubblewrap запускается с правами root (исполняемый файл c suid-флагом) с последующим сбросом привилегий после завершения инициализации контейнера. И чем это лучше, чем firejail?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #33, #53, #62

30. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:17	+1 +/–
>Случай, когда во flatpak зависимости ломаются приведешь? А этот твой flatpak он что, заговорённый? Так-то там тоже зависимости есть. И от принципа «всё своё ношу с собой» разрабы flatpak собираются отказываться уж не первый год как: оказывается, если таких пакетов в системе не два — три, то вопрос экономии дискового пространства становится весьма актуальным. Одно дело, когда две или три программулины весом до ста метров занимают по полтора — два гига (а то и больше) каждая, другое дело, когда таких программулин надо установить штук 30, да ещё предусмотреть место для бэкапа корня. И вот чтобы с этим бороться, собираются применять (не начали ещё?) разделяемые среды. Ну т.е объединить все возможные минусы от смешения нескольких подходов, как нынче модно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #59

31. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:24	+3 +/–
>место на винте, давно не актуальный параметр Если оно терабайтами будет жраться, то это станет проблемой для очень и очень многих. а уж если речь не про десктоп, и не про сервер, то и подавно. Нужны бэкапы — добавляй к проблемам множитель. К тому же, распухший / это не только сожранное место на дисках. Вот у меня раньше система была на разделе в 30 гигов. Раньше — это ещё лет 5 назад. Потом 50, теперь 100. И ладно место, но оно теперь побайтово копируется на nas и обратно в разы дольше. И да, три flatpak-а (которые содержат софт, раньше вполне себе устанавливающийся из системных реп) тут тоже сыграли роль, причём заметную. Прибавила ли моя система в функционале, удобстве и прочем в связи с ростом занимаемого пространства? Нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #42

32. Сообщение от AlexYeCy_not_logged (?), 28-Фев-23, 12:26	–1 +/–
>В оффтопе и маке софт итак распространяется правильно им прослойки и контейнеры не нужны. В гробу я видал такую «правильность».
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18

33. Сообщение от Аноним (33), 28-Фев-23, 14:07	–1 +/–
firejail - это блоатварь, а как и в любой другой блоатвари, в firejail неоднократно находили уязвимости. Да такие, что без fairjail было бы безопаснее, чем с ним. Такой вот парадокс. Ну а сабж тем временем дает истинно минимальный функционал, основанный исключительно на неймспейсах.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29 Ответы: #39, #41, #52

34. Сообщение от Самый умный из вас (?), 28-Фев-23, 14:25	–1 +/–
Nixos-specific
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28 Ответы: #63

35. Сообщение от YetAnotherOnanym (ok), 28-Фев-23, 15:07	–1 +/–
Это всегда была забота мэнтейнера пакета в конкретном дистрибутиве.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

36. Сообщение от Аноним (36), 28-Фев-23, 15:15	+1 +/–
> зачем оно никто точно не знает
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

37. Сообщение от Аноним (37), 28-Фев-23, 16:26	+2 +/–
Мы можем. Но выше написали про яблочников.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #47

38. Сообщение от Бывалый смузихлёб (?), 28-Фев-23, 16:27	–1 +/–
> Т.е. XCode должен зависеть от 6 гигов системных библиотек и весить 1 > гиг? Но зачем? Ууу, пацан, ты ещё многого не знаешь... Вот обновляются, например, шланг или гнутый или, даже, вижуал студио для соответствия с новыми веяниями языка... На винде или линуксе ты просто скачаешь новый пакет/приложение/сборку - и кайфуешь И только на яблоке, если обновления старше чем 1год относительно текущей оси... тебе, чтобы возрадоваться новым плюшкам компилятора, прежде надо обновить ОСь 10Гб ), после - XCode( ~10 Гб ) - и это при условии что железо поддерживаемо а тырнет - абсолютно стабилен, ведь яблоко при любом чихе начинает загрузку с нуля ! ) И это без учёта того, что яблоко ежегодно выкидывает часть железа как неподдерживаемое. Слава Богам что есть опенкор и на интелловских процах( с амд-шными тонны гемора ) начиная от коффе-лейк ещё можно поставить яблочную ОСь с нативной поддержкой и проца и интегрированной графики( только чутка подпатчить. С Энвидией вообще никакие пляски не спасут ибо выпилена подчистую. Но там хотя бы аймак 19,1 )
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #46

39. Сообщение от Аноним (39), 28-Фев-23, 16:53	+/–
А уязвимости эти эксплуатирются удалено али как?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33