Les applications Snap et Flatpack sont-elles sûres à installer? Sont-ils "officiels", approuvés ou testés pour une version de distribution particulière?
Je n'aime pas installer des applications en dehors des dépôts officiels de ma distribution.
La sécurité Linux repose en grande partie sur le fait d'avoir un référentiel méticuleusement organisé et testé pour la compatibilité des bibliothèques avec la version actuelle de distribution, la stabilité et la sécurité.
Une fois que j'ai installé, depuis des dépôts extérieurs, un émulateur de terminal sophistiqué qui imite les moniteurs de phosphore rétro vert/ambre. Cette application a fait des ravages dans mon système et j'ai dû réinstaller Ubuntu.
J'hésite beaucoup à utiliser également ppas.
Je ne fais confiance qu'à très peu de sources externes, ppas ou packages téléchargés à partir de sites Web.
Mais maintenant Snap et Flatpack semble être à la mode dans les sites spécialisés Ubuntu.
- Est-il sûr d'installer des applications Snap ou Flatpack?
- Existe-t-il des dépôts officiels pour cela?
- Comment la stabilité est-elle prise en charge avec ces choses non -apt?
Les snaps ont le repo https://snapcraft.io/ - il est géré par Canonical, les mêmes personnes qui construisent Ubuntu.
Les Flatpaks ont un dépôt officiel à https://flathub.org/ . Les flatpaks ont été développés par Redhat mais je ne sais pas s'ils gèrent le repo flathub ou non.
La stabilité:
La stabilité des packages individuels, bien sûr, dépend de la qualité de la construction et est à la merci du mainteneur.
Les flatpaks et les snaps sont entièrement construits en utilisant les dépendances dont ils ont besoin à l'intérieur d'un bac à sable, mais les deux gèrent cela un peu différemment
Les instantanés créent un point de montage et le système monte l'archive du programme et l'exécute à partir de là.
Les Flatpaks sont construits en /var/flatpak/ pour les installations à l'échelle du système (global) et dans ~/.var/app côté local. Flatpak les monte et les exécute
La bonne nouvelle sur la stabilité est que si vous obtenez une application bancale, elle est contenue et ne rendra pas le reste de votre système instable en installant des bibliothèques qui provoquent des conflits avec d'autres applications installées.
Les deux sont des applications autonomes avec toutes les informations nécessaires pour fonctionner. C'est ce qui rend cette distribution agnostique et leur permet d'être installés sur n'importe quel système Linux qui les prend en charge (flatpak ou snap)
Sécurité:
C'est un peu plus ambigu.
Les snaps n'ont que le repo officiel. Un cas de malware a été signalé dans le référentiel, mais il a été détecté rapidement et supprimé. Si je me souviens bien, c'était un logiciel d'extraction de crypto-monnaie qui renvoyait une partie de la monnaie extraite aux responsables de l'application à l'insu des utilisateurs. Même avec cela, l'application n'a pas eu d'autre effet néfaste et afiak n'a pas pu accéder au dossier d'accueil de l'utilisateur.
Flatpaks: si vous utilisez le référentiel officiel, il devrait avoir à peu près la même sécurité que Snaps, rien n'est parfait, mais tout ce qui en fait partie sera très rapidement remarqué et supprimé s'il s'agit d'un malware et dépassé l'examen initial de la soumission.
Je douterais personnellement que tout malware ouvertement comme un virus en ferait un dépôt Snap ou Flatpaks et tout ce qui a un comportement indésirable sournois comme l'application de cyrptocurrency susmentionnée resterait très longtemps.
Dans l'ensemble, je dirais que les deux sont sûrs, mais aucun n'est aussi intrinsèquement sûr que les sources officielles d'Ubuntu, mais cela vaut pour les PPA. Ajouter des sources en dehors des sources officielles d'Ubuntu n'est pas tout à fait aussi sûr.
Je dois ajouter une mise en garde ici, il existe d'autres dépôts Flatpak, la plupart sont destinés à des programmes légitimes qui souhaitent simplement héberger leur propre référentiel plutôt que d'utiliser flathub. Ceux-ci sont complètement en dehors de tout contrôle de qualité de flathub et ne doivent être ajoutés que si vous faites confiance aux développeurs du programme. Cela irait également pour l'ajout de référentiels snap, mais je ne pense pas qu'à l'heure actuelle, il n'y ait que les référentiels Snap officiels.
Quant à savoir si les flatpaks et les snaps peuvent être installés en toute sécurité:
Dans l'ensemble, qui sont sûrs tant que vous vous en tenez aux dépôts officiels, consultez la description des packages que vous souhaitez installer et n'installez rien qui semble encore un peu louche.
Les deux sont un excellent moyen pour les utilisateurs d'avoir un moyen sûr (aussi sûr que prévu en dehors des sources de package officielles d'une distribution) d'installer des logiciels qui ne sont pas disponibles d'une autre manière et de les faire "fonctionner simplement".
Par exemple, j'ai installé Spotify en tant que Snap et Teamspeak 3 en tant que flatpak. Bien que Spotify soit disponible via un ppa, l'utilisation d'un composant logiciel enfichable me permet d'éviter d'encombrer les apt avec ppa que je peux éviter d'utiliser.
Teamspeak ne serait disponible pour moi qu'avec un .run qui décompresse le dossier, puis vous placez le dossier extrait dans votre répertoire personnel et cliquez sur le fichier sh ou utilisez la ligne de commande pour commencer. Alors que je faisais cela avant, puis fait un lanceur de bureau pour le lancer pour moi, puis ajouté ce lanceur à mon ~/local/share/applications dossier pour le lancer. Il était tellement plus facile d'installer simplement le flatpack en une seule étape et de le faire fonctionner.
"Une fois que j'ai installé, depuis des dépôts externes, un émulateur de terminal sophistiqué qui imite les moniteurs de phosphore rétro vert/ambre. Cette application a fait des ravages dans mon système et j'ai dû réinstaller Ubuntu."
Pour répondre à cette partie de votre avance jusqu'à votre question:
Je soupçonne que la raison pour laquelle le ppa a complètement arrosé votre installation Ubuntu est parce qu'il a introduit des bibliothèques plus récentes en tant que dépendances que vos programmes natifs n'ont pas pu utiliser ou ont remplacé vos bibliothèques installées par des anciennes qui étaient trop obsolètes pour être utilisées par votre Ubuntu natif.
La bonne chose à propos des snaps et des flatpaks est qu'ils apporteront toutes les bibliothèques dont ils ont besoin pour fonctionner dans leurs propres dossiers. Les snaps et flatpaks sont autonomes et ne toucheront aucun de vos fichiers système ou bibliothèques.
L'inconvénient de ceci est que les programmes peuvent être plus gros qu'une version non snap ou flatpak mais le compromis est que vous n'avez pas à vous soucier que cela affecte quoi que ce soit d'autre, pas même d'autres snaps ou flatpaks. Si l'application est cassée parce qu'elle a apporté de mauvaises bibliothèques ou pour toute autre raison, vous la désinstallez et elle est complètement disparue.
C'est très différent pour différentes applications. Vous pouvez trouver des applications bonnes et bien entretenues - https://snapcraft.io/pycharm-community , https://snapcraft.io/telegram-desktop
Mais il existe de nombreuses applications poubelles, obsolètes ou non sécurisées - https://snapcraft.io/ghex-udt , https://snapcraft.io/electrum
Avant d'installer l'application, vous devez vérifier l'auteur, la version actuelle/la dernière mise à jour pour la version snap et les mêmes choses pour la version grand public, les autorisations (il peut s'agir de l'application "Classic" avec toutes les autorisations dangereuses).
Même chose pour PPA - il n'y a pas de contrôle de qualité fiable.