Snaps, Flatpaks ou AppImage oferecem algum risco ao sistema?

Ahhh, Rodrigo, por favor, pode me tirar uma dúvida?
Ontem eu instalei o Snapd. Ia perguntar por aqui, mas achei melhor dar uma pesquisada e realizar o processo por mim mesma, mas tenho algumas dúvidas quanto a isso…
Snaps, Flatpacks ou AppImage oferecem algum risco ao sistema? Os diretórios são atualizados normalmente em meu sistema conforme vou atualizando, ou tenho que guardá-los e fazer uma manutenção específica desses programas e dos arquivos baixados por estes meios?

6 curtidas

Em geral, não é inseguro usar snaps ou flatpaks (sobre snaps há controvérsias), pq eles rodam em sandbox (ou seja, isolados do resto do sistema). Appimages são como os portáteis do Windows, tampouco são relativamente inseguros.

O principal problema do snapd é que ele lerda o sistema. Mas se vc usa SSD, isso é imperceptível.

A atualização de appimages é complexa, mas não é muito importante, bastando baixar do Appimagehub uma versão mais atualizada e trocá-la pela anterior. Snaps são atualizados pelo comando sudo snap refresh e flatpaks pelo comando flatpak update (assim mesmo, sem sudo). O sudo pacman -Syyuu não atualiza snaps, flatpaks nem pacotes do AUR (esses se atualizam pelo yay, mas eu não sei bem como - @RuKsu, ajuda?), só os do repositório.

10 curtidas

Sim, inclusive eu mesma achava… :roll_eyes:

4 curtidas

Vcs deixam a gente mal acostumada rsrsrs :see_no_evil: :see_no_evil: :see_no_evil:
Muito obrigada Rodrigo_Chile. Anotando tudo!!! Muito obrigada!!! :heart:

4 curtidas

:wave:t2: Quando eu tinha aplicativos do AUR, eu usava atualizar o Arch com pacman -Syu e o básico do Git o git pull para os aplicativos do AUR. Mas uma mensagem começou a aparecer para não usar mais somente ele e sim com as flags –ff-only. Nunca pesquisei o porque, olha que eu sou curioso e adoro pesquisar. Irei fazer isso agora!

Em inglês

“git pull deprecated is not recommend, instead --ff-only eu não me lembro direito”

Eu o nunca usei o yay, mais ele é poderoso. Somente com o comando yay no terminal e ele atualiza tudo, não precisando do pacman -Syu e nem do yay -Sua.

Então acredito que é muito legal usar o yay, mas tem o pamac que é com interface gráfica, daí fica mais legal ainda. :grin: Neste caso eu invoco o Rodrigo_Chile mago do Manjaro :pray:t2:

Edited:

Será que irá bugar? Citar mensagem do futuro em mensagem do passado :joy: Mas vai ficar muito legal esta foto de perfil, até sugiro um background Manjaro :sweat_smile:

P.S.: Não bugou, curioso… :grin:
Edited/

5 curtidas

O Pamac é uma ferramenta muito poderosa de gerenciamento de pacotes, repositórios e atualizações, além de funcionar como loja - foi criação da equipe do Manjaro.

Para instalá-lo, é necessário compilar o pacote pamac-all com o AUR, ele não está nos repositórios do Arch. Uma vez instalado, pode ser usado de forma gráfica (o Pamac-GUI, uma loja mesmo) ou pelo terminal, com comandos como pamac install nome-do-pacote, pamac build nome-do-pacote-aur (compilando do AUR da mesma forma que o yay, mas independente dele) ou pamac update --force-refresh, que atualiza o que estiver habilitado (AUR, repositório, snaps e flatpaks).

No tutorial de pós instalação do Manjaro que escrevi tem como configurá-lo:

Aqui ensina mais umas coisas:

Detalhe: o que for compilado do AUR pelo Pamac só atualiza pelo Pamac. O que for instalado pelo yay é só pelo yay; são independentes entre si

EDIT: vou mudar a foto do perfil pro Presto, d’A Caverna do Dragão - mago de roupa verde… hehehehe

4 curtidas

Esses pacotes são feitos por terceiros, não pelos desenvolvedores das distribuições.

Você terá que confiar em quem disponibilizou o programa para você, assim como já ocorre no Windows.
No entanto, é a mesma coisa que confiar no AUR e nos repositórios comunitários (Universe do Ubuntu) das distribuições.

7 curtidas

Os Snaps estão sempre evoluindo, recentemente foi demonstrado que uma simples troca no algoritmo de compressão torna um aplicativo Snap tão rápido quanto outros aplicativos. Cabe agora aos empacotadores utilizarem as novas técnicas, que incluem até mesmo a possibilidade de economizar espaço em disco. Eu mesmo já uso programas que são menores em Snaps do que se baixados do site oficial.

3 curtidas

Na verdade não é tão simples assim:

  • Snaps são disparados os mais seguros, o por quê? Simples, o sandbox do snap funciona de maneira a prevenir ataques zero-day, isso significa que a Canonical previne ataques em falhas que ela nem sabe que existe

  • AppImages 90% das vezes é feito pelo próprio desenvolvedor o que faz com que as chances de o software for malicioso com um dev conhecido é próxima de 0

  • Flatpak ele tá como menos seguro que os AppImages porque sua falha está em criar uma fraqueza no utilizador, sua sandbox protege contra escalação de privilégio e acesso não autorizado a pastas do usuário, porém ele tem um problema sério que é tratar correções de falhas gravíssimas como “correções menores” além de ser vendido como sendo super seguro, o que faz o usuário se sentir mais confiante a ponto de liberar o acesso irrestrito a pasta pessoal e discos externos, é nítido que temos aqui uma grande falha que permite um ataque direto de ransomwares por excesso de confiança

7 curtidas

No caso dos snaps a riscos de sofrer infarto ou surto de raivas :rofl:

6 curtidas

Único risco q eu vejo é não se preocupar com dependências ou quebrar o sistema. kk

4 curtidas

Ótimas respostas, porém alguns fatores precisam ser lembrados:

Falhas de segurança e versões de bibliotecas

Com relação à falhas de segurança, quando um programa é empacotado, ele traz toda a linha de dependências dele. Ou seja, uma falha de segurança em uma biblioteca pode estar corrigida no seu sistema, mas se o seu programa SFA (snap/flatpak/appimage) usa uma dependência em versão anterior, a vulnerabilidade ainda estará presente dentro do seu sandbox. Os pacotes da sua distribuição são verificados quanto a isso, de modo que nenhuma vulnerabilidade de alto risco estará presente no seu sistema.
Ao usar um programa SFA, empacotado pelo programador, essa camada de proteção deixa de existir. Também não fica claro quais as dependências foram usadas naquele programa, ou seja, fica difícil até mesmo pesquisar se o seus sistema está em risco!

Atualização de bibliotecas

Quando uma biblioteca apresenta uma vulnerabilidade, a correção é extremamente fácil num sistema modularizado como uma distribuição linux. O pacote é atualizado e todos os seus demais programas já estão seguros. Já nos SFA, cada um dos programas precisa receber a atualização, ser reempacotado pelo programador, e atualizado pelo usuário. Uma cadeia mais longa, com mais chance de falhas, especialmente por conta dos programadores (que além de manter o programa, agora terão que cuidar das atualizações de segurança).

Programas/bibliotecas obsoletos

Uma situação que pode acontecer é o desenvolvedor do programa não estar disposto a atualizar seu programa para a versão mais recente de alguma biblioteca (pois demandaria esforço de readequação de código). Em uma distribuição linux, esse programa sairia do repositório. Porém ficaria fácil para o programador empacotar a versão obsoleta da biblioteca ou mesmo um programa inteiro. O usuário atualiza os pacotes SFA e tem a falsa impressão de estar atualizado.

Conclusão

Ao usar programas snap/flatpak/appimage o usuário deve estar ciente que está deixando de contar com a equipe de segurança da distribuição linux e passando a responsabilidade de correção de falhas de segurança para os programadores dos pacotes snap/flatpak/appimage instalados.

14 curtidas

Tem alguma forma de tornar a abertura dos Snaps mais rápido? Por exemplo, instalei o Spotify em snap e demora uns 20s pra abrir, mesmo em SSD.

1 curtida

Professor Ruksu!! Tudo bem com o senhor?

Muito obrigada pelas informações! Eu já ouvia falado do pamac, mas me havia esquecido o nome dele :see_no_evil:. Também pensava que ele fosse do Arch e não do Manjaro (que é tipo um irmão mais novo do Arch) :laughing:.

Corrigido aqui! Muito obrigada por compartilhar as coisas!!! :heart:

Hum, como estou treinando para usar melhor o terminal, vou estudar com maior atenção o yay também. De fato, parece ser uma ferramenta muito poderosa!

O senhor é show! :100:

2 curtidas

Oi, tudo bem?

Onde o senhor baixa estes programas de forma segura não sendo do site oficial de snaps? No Github? E como saber se eles já usam este novo algoritmo de compressão?

Muito obrigada pelas informações!

1 curtida

Em algum level todos tem algum risco…mas nada compara com o risco de adicionar um repo ou deb/rpm… no sistema…

7 curtidas

Já tentou a versão flatpak? Aki no meu note com ssd abre rápido.

1 curtida

Ele quis dizer que baixa programas em Snap menores do que aqueles baixados no site oficial (por meio de um pacote .deb, .rpm ou outro).

2 curtidas

Pesquisando um pouco sobre os flatpaks eu achei um comentario interessante do fundador do ElementaryOS

traduzi no google tradutor mesmo:

Flatpak não cria segurança e privacidade perfeitas magicamente. Ele fornece uma maneira executável de tornar as coisas mais seguras e privadas do que são atualmente.

Sim, alguns Flatpaks estão sendo distribuídos com sandboxing nada perfeito. O Firefox Flatpak por padrão atualmente pode acessar sua pasta Downloads. Mas o pacote Debian já pode acessar qualquer coisa em seu diretório home. Portanto, embora não seja perfeitamente confinado, o Flatpak é uma grande melhoria. E, se desejar, você pode escolher ajustar a sandbox Flatpak de acordo com sua preferência. Você pode até proibir o acesso do Firefox à Internet. Isso não é possível com o pacote deb atual.

Alguns controles remotos podem não ter boas políticas de segurança. Mas você também já tem esse problema com os gerenciadores de pacotes tradicionais. Veja todo o escrutínio que o Mint enfrentou sobre sua política de segurança. Toneladas de pessoas adicionam PPAs hoje sem pensar duas vezes em sua política de segurança. Não há nada sobre o formato que decida isso. Depende de você certificar-se de que confia nas fontes de seus pacotes. Este é um grande motivo pelo qual é sempre aconselhável limitar-se às fontes de software que vêm com sua distribuição.

Cada pacote Debian que você já instalou tem permissão de root no momento da instalação. E pacotes populares (como o Chrome) exploram esse fato regularmente para fazer modificações no sistema host. Isso nunca será corrigido para pacotes Debian porque faz parte de seu design. É por isso que Mark Shuttleworth apontou anos atrás que você efetivamente dá root para cada mantenedor de cada PPA que você adiciona ao seu sistema. O exploit do qual o autor se queixa foi corrigido há quase 3 anos em Flatpak. Pacotes Flatpak e mantenedores que distribuem flatpaks não têm permissões de root em seu sistema por design.

9 curtidas

De: Eonfge (Eonfge) · GitHub

resposta sobre Flatkill

"Flatpak é o futuro …

… e ainda é um trabalho em andamento. Eu uso muitos aplicativos através do Flatpak como colaborador do projeto, mas não todos. Nem todos os aplicativos funcionam bem e às vezes você deve aceitar que, sem um retrabalho sério, você não pode ter todos os aplicativos empacotados em um flatpak. Portanto, funciona melhor para alguns aplicativos do que para outros, e às vezes eu honestamente recomendo as versões não flatpak em vez da versão flatpak.

Um ponto que o autor de Flatkill (que é anônimo) martela é, às vezes, a falta de sandbox. Isso é correto, há dois motivos pelos quais às vezes o software vem com sandboxes tolerantes.

  • A isenção 1 é a compatibilidade retroativa com aplicativos antigos. Às vezes, você quer um extrator de CD como o Asunder, mas precisa aceitar que o Asunder não funcionará bem enquanto estiver em uma área restrita. Esforços estão sendo feitos para melhorar a situação, mas “temos que renovar enquanto mantemos o negócio”.

  • A isenção 2 são ferramentas de desenvolvimento. Se você compilar e construir software, presumimos que você tenha a habilidade e o conhecimento necessários para não executar um ataque de ransomware em sua própria máquina. O exemplo dado é o Octave, uma ferramenta avançada do tipo Matlab. Se você escrever seu próprio script Octave para criptografar suas fotos, isso depende de você.

Talvez também seja bom destacar que todos os ataques mencionados no post, já funcionam com pacotes RPM e DEB. Flatpak não é totalmente seguro … é mais seguro. Se os mantenedores do Flatpak quiserem atacar você, eles podem.

O mesmo para Flatpak quebrando algumas integrações de desktop … Vocês sabem que todo aplicativo executado como um usuário pode ver todos e todos os arquivos e processos desse usuário? Sim, o kernel sandboxes os aplicativos em uma extensão, mas apenas no nível do sistema. Flatpak quebra algumas integrações para impedir que isso aconteça.

Se o Android e o IOS fizeram algo bom para o campo da ciência da computação, é que você não deve presumir a boa fé de todos os aplicativos que os usuários executam. Flatpak é a resposta para essa compreensão.

Existe uma alternativa séria …

… e é um jardim murado (Snapcraft). Flatpak começou como um balcão contra o jardim murado que a Canonical está construindo, chamado Snap. Embora o código do cliente do Snap seja de código aberto, o sistema é projetado de forma a servir apenas a um mestre. O risco de ter uma parte controlando a distribuição de todo um cenário de software é muito sério. Flatpak é uma resposta direta à ameaça do movimento monopolista da Canonical.

A menos que você queira que a história se repita … olhando para o enorme duopólio dos smartphones e o iminente duopólio do desktop, é importante investir no Flatpak. É por isso que o chamamos de sistema de embalagem para o futuro, e não o presente.

Conclusão

ISSO É MEDO, INCERTEZA E DÚVIDA"

6 curtidas