Ubuntu ha il profilo Apparmor attivo per Firefox (e altri software). Mi pare che anche Debian comunque abbia Apparmor attivo dalla 10 per certi pacchetti, tra cui il broweser, ma vado a memoria.
Non voglio andare nei dettagli anche perché non so un esperto di sicurezza, ma AppArmor non basta per limitare l'applicazione nel suo contesto, ad esempio Firefox ha accesso a tutti i miei dati nella home, quindi se c'è una vulnerabilità può compromettere i miei dati. Basta che provi tu stesso e vedrai che con Firefox by default in ".deb" hai accesso a tutto, nella versione snap/flatpak è molto più limitato e puoi gestire i permessi, ad esempio questo comporta dei limiti, come alcune estensioni del browser che non possono comunicare (ad esempio gnome estensioni) e che stanno cercando di risolvere:
https://github.com/flatpak/xdg-desktop- ... issues/655
Lo stesso snap usa Apparmor + Seccomp per confinare le APP.
Fammi una cortesia, prova a mettere un tema differente da Adwaita e icone differenti da Adawita, e poi rifammi lo screenshot con le stesse applicazioni. (ok le app Qt andrebbero impostate con Kvantum o qt5ct per uniformarsi alle Gtk, quindi magari per il momento escludiamole)
In quel caso mi basta installare il tema custom tramite flatpak, ad esempio se voglio usare yaru:
Ma non sono un amante dei temi custom, quindi non l'ho mai trovato un problema per questo, anche perché i temi se non mantenuti bene portano dei bug grafici.
Ovvio che una sandbox è meglio, ma è anche sbagliato sostenere che le applicazioni in deb o rpm siano poco sicure, perché sembra più una paranoia, visto che non ci sono mai stati problemi, in quanto le applicazioni vengono controllate dalla distro.
Non ho mai detto che le APP deb/rpm siano poco sicure, ma che flatpak è più sicuro perché sono in sandbox by default, isolate dall'host.
Ma non è il problema del controllo, ma le vulnerabilità non scoperte o altri problemi. Ovvio che in anni che uso Linux non ho mai avuto di questi problemi, però se si può migliorare la sicurezza perché no? Soprattutto per le APP proprietarie o per chi usa WINE è molto utile.
Da precisare che non preferisco flatpak solo per la maggior sicurezza, anche se non mi dispiace soprattutto per le APP proprietarie, ma per le comodità che mi da.
Quello che invece mette realmente a rischio la sicurezza e la stabilità del sistema, dono pacchetti presi da ppa o peggio ancora in giro per il web, se solo un utente pensasse che sta dando libero accesso al suo sistema ad uno sconosciuto, non lo farebbe o comunque in questi casi, molto meglio e sicuro un flatpak.
"Maggior sicurezza" mi riferisco anche a questo caso d'uso.
E questo puoi farlo tranquillamente pure senza Flatpak, sin dagli albori di Unix.
Puoi per favore farmi vedere come installi con un flag su deb/rpm un APP interamente sulla tua home utente e non visibile ad altri? Cioè tutta l'app: eseguibile, librerie ecc.
Ok, queste comodità te le concedo. Non ho alcun interesse a farmi il backup delle applicazioni o portarle in giro su chiavette usb, ma magari a qualcuno interessa.
Non solo portarle in giro sulla chiavetta, ma anche un reinstall, di recente ho fatto una reinstallazione mantenendo il subvolume flatpak, post install mi sono ritrovato tutte le APP flatpak preinstallate e il che mi fa risparmiare un bel pò di tempo.
Non che installare dipendenze connesse ad app KDE o Qt sia classificabile come "sporcizia", comunque, ok.
No, ma ritrovarti "sddm", "kwin" e tutte le APP KDE di sistema è fastidioso, incluso baloo.
Io i flatpak li installo sempre come --user, che secondo me è meglio, staranno confinati nella /home senza intaccare in nessun modo il sistema, per qui non serve neanche la password per aggiornarli, ovviamente su un sistema multi-user dipende dalle esigenze.
In realtà sono confinati anche su "/var/lib/flatpak" è solo un problema di spazio se hai la home separata, e non hai bisogno di update con privilegi di root per aggiornali nemmeno se li installi su "system", ti basta:
, tranne alcuni installati per test: Brave, Chromium, Microsoft Edge.
Sembra funzionare bene, all'avvio si è accolti da un annuncio che dice di essere un flatpak beta, ma sono felice che sia arrivato.