Flathub-bèta laat zien of afkomst app geverifieerd is

Flathub, de Linux-appwinkel voor zogenaamde flatpaks, krijgt in de toekomst een verificatiebadge voor apps. De functie is nu als bèta beschikbaar. Het vinkje signaleert dat de app in kwestie ontwikkeld en op Flathub uitgegeven wordt door dezelfde partij.

Volgens It's FOSS hebben op dit moment meer dan 70 apps op Flathub een vinkje. Omdat het om een bètafeature gaat, zijn deze checkmarks alleen te zien in het bètaportaal van Flathub. Desgewenst kan op Flathub ook alleen geverifieerde software getoond worden.

It's FOSS schrijft verder dat ontwikkelaars hun Flathub-app kunnen verifiëren door gebruik te maken van de koppeling tussen hun repo op GitHub of GitLab en Flathub. Een mouse-over bij bijvoorbeeld Mozilla Firefox toont echter een tooltip waarin staat dat die software geverifieerd is door Flathub-personeel. Daarmee lijken er twee methodes van verificatie te zijn.

Een reageerder op Reddit tekende aan dat een onofficiële WhatsApp-client op Flathub een checkmark had gekregen. Hij tekende aan dat dat dubieus voelde omdat het geen software van WhatsApp is, ook al is de afkomst ervan geverifieerd. Flathub haalde dat vinkje later weer weg.

Wanneer de functionaliteit naar de releaseversie van Flathub moet komen, is niet duidelijk. It's FOSS denkt dat dat 'ergens dit jaar' is.

Beelden via It's FOSS

Reacties (14)

[nehal3m]

Zodat we apps kunnen discrimineren op afkomst?

Open source doet er alles aan om niet de indruk te wekken, in dat licht moest ik wel lachen om de kop.

edit: Los daarvan natuurlijk mooi dat Flathub een mechanisme inbouwt zodat we vertrouwen kunnen centraliseren bij de developers aldaar. Daarmee is niet gezegd dat het altijd veilig zal zijn om flatpaks te gebruiken, maar er is dan op z'n minst een controleerbaar en hopelijk open mechanisme.

[Reactie gewijzigd door nehal3m op 30 juli 2024 07:22]

[Omega]

Het gaat niet zo zeer om vertrouwen maar voornamelijk om nog duidelijker aan te kunnen geven of een Flatpak wel of niet geaffilieerd is met de ontwikkelaar van de app.

De build scripts worden allemaal al gecontroleerd op de Flathub GitHub door trusted users, dus het vertrouwen is er al.

Als ontwikkelaar zit jij er niet op te wachten om continue bug reports te krijgen voor een Flatpak versie van je app die jij niet zelf beheerd.

[Reactie gewijzigd door Omega op 30 juli 2024 07:22]

[nehal3m]

Als ik het artikel op It's FOSS erbij pak staat daar:

How to get verified?: The developers have to log in to beta.flathub.org with the GitHub or GitLab account linked to their app, then head to your Developer Profile.

Begrijp ik dan goed dat (zoals freaxje noemt) de code op GitHub door Flathub met de binaries wordt vergeleken om te verifiëren dat die de code bevatten die ze horen te bevatten?

Als dat het geval is heb ik er als eindgebruiker meer vertrouwen in dat die software doet wat er op 't blikje staat, en niet meer of minder.

[Omega]

Flatpaks kunnen worden gebouwd van zowel broncode als binaries. In de meeste gevallen kiest men voor de broncode aangeleverd met elke release om eventuele 'bad binaries' (Kwaadwillend of simpelweg incompatibele gecompileerd) te vermijden.

[blorf]

Nooit gezien of gebruikt, maar ik twijfel eraan. Wat krijgt de gebruiker nog te zien na die verificatie? In ieder geval bij source zijn dependencies, output binary format en target hardware nogal relevant. Kunnen flathub-gebruikers dat gewoon zien?
Wat is de meest low-level omgeving waar flat-hub code op kan draaien als binary executable? Ik denk belangrijke informatie. Of is het hetzelfde als Github waar je praktisch gewoon random data kan plaatsen en doen alsof het een project is?

[Reactie gewijzigd door blorf op 30 juli 2024 07:22]

[sebati]

Er is denk ik niets mis mee om een system met labels te hebben die een indicatie geven van wat een gebruiker mag verwachten van de applicatie. Dat kan de bron van de applicatie, maar wat mij betreft ook een bepaalde mate van processen zoals veiligheidstests een bron ("leverancier") gebruik maakt om de gestelde kwaliteit te borgen.

[divvid]

En intussen bouwt men vrolijk apps op basis van tig docker containers waarvan je je ook maar af moet vragen hoe secure die zijn

[nehal3m]

Goeie. Check ook altijd even of Docker UFW niet negeert.

Ik heb al eens een stagiair aan m'n bureau gehad die kwam melden dat er een poort 21 onbedoeld open stond naar het internet.

[Verwijderd]

Wat belangrijker is is dat men kan verifiëren of een bepaalde source code overeen komt met bepaalde binaries (die in de Flathub images zitten).

Dat kan dan weer met reproducable-builds. Maar de koppeling of het nazicht zou zo eenvoudig moeten zijn als het https-icoontje in je browser.

Bv. je download de source code vanaf GitHub als .zip, de tools van reproducable-builds maken de nodige checksums. De binaries komen overeen met die in de Flathub image. Dus we kunnen die gebruiken: groen icoontje.

EncroChat zou zo wel moeilijker worden voor elkaar te krijgen door de politie. Want een crypto phone en al haar softwares zal dan helemaal langsheen de gebruikte source code kunnen geverifieerd worden. Maar goed, de politie kan ook hardware openen en aanpassen als alternatief. De Evil Maid attack is na goedkeuring van een rechter volgens mij geen probleem om te laten uitvoeren bij een telefoon van een crimineel.

[Pinkys Brain]

Zelfs als flathub een tool chain voor reproducible builds uitbrengt gaat maar een deel van de upstream projecten er gebruik van maken.

Uiteindelijk heb je gewoon een organisatie en maintainers nodig, zeker voor een formaat wat zo trots is op zijn sandbox. Als ik persoonlijk nog eens moet nakijken of de permissies niet te ruim zijn klopt er iets niet.

[UPPERKEES]

Dat werd tijd! Flatpak is gemaakt met het doel om de developer dichter bij de gebruiker te brengen en dat de developer rechtstreeks de software kan aanbieden zonder voor elke distro weer iets anders te bouwen. Maar zonder een verified vinkje geeft het soms het idee dat de Signal app bijvoorbeeld official is, maar dat is die niet. Zo zijn er nog wel meer applicaties waar je vraagtekens bij mag zetten.

[Verwijderd]

Ik gebruik momenteel Signal op SailfishOS wat volgens mij Flatpak zou kunnen gebruiken als ik daar wat werk in steek. Maar een Signal in een Flatpak bestaat nog niet en de enige manier om Signal op mijn telefoon aan de praat te krijgen is door middel van een Android APK (wat niet Flatpak is).

[Verwijderd]

Raar en onduidelijk dat com.github.eneshecan.WhatsAppForLinux nu geen vinkje meer heeft, terwijl de bron github.com/eneshecan/whatsapp-for-linux wel geverifieerd is.

[crazyboy01]

Ik vind het ook een heel rare actie, helemaal als dat echt door dat reactietje op Reddit komt. Ik snap wel dat zo'n vinkje lullig staat bij zo'n onofficiele cliënt, maar dit maakt weer iets van het vinkje dat het niet is. Het is van de ontwikkelaar, dus het zou een vinkje moeten kunnen houden. Als zo'n team een beetje per applicatie gaat bedenken of ze het een vinkje waard vinden is het niet eenduidig genoeg en dan heb je er dus helemaal niets aan, want dan zou je vinkjes willen zien waar je ze nu niet ziet wat gewoon irritant is en soms zelfs onnodig wantrouwen oproept.