Ontwikkelaars willen Fedora Onyx met Budgie-omgeving als immutable OS aanbieden

De ontwikkelaars achter Fedora gaan Fedora Onyx met de Budgie-desktopomgeving vanaf de volgende versie van de distro als immutable versie aanbieden. Dat betekent dat de rootdirectory niet zomaar kan worden aangepast.

De ontwikkelaars van het besturingssysteem hebben daarvoor een voorstel gedaan bij het Fedora Project. In dat voorstel pleiten de ontwikkelaars ervoor om Fedora Onyx als immutable versie toe te voegen aan de mogelijke versies van de distributie. In een immutable OS is de rootdirectory read-only. Daardoor worden veranderingen aan het besturingssysteem na een herstart weer teruggedraaid, wat doorgaans een stuk veiliger en makkelijker te beheren is. Dergelijke systemen zijn doorgaans ook consistenter en stabieler.

Er zijn al verschillende immutable varianten van Fedora, waaronder het standaard Silverblue en KDE-variant Kinoite, maar Onyx heeft volgens de ontwikkelaars als belangrijkste troef dat die draait op de Budgie-desktopomgeving. Die is sinds de recentste release van Fedora 38 beschikbaar als officiële Fedora Spin.

De ontwikkelaars hopen dat Fedora Onyx vanaf Fedora 39, de aankomende versie, als immutable optie beschikbaar is. De distro zou daarvoor een aanpassing nodig hebben en rpm-ostree moeten gebruiken als image- en packagesysteem. De ontwikkelaars van het Fedora Project moeten akkoord gaan met de toevoeging.

Reacties (25)

[lordsnow]

"Daardoor worden veranderingen aan het besturingssysteem na een herstart weer teruggedraaid"

Wat valt hier onder een verandering? Installatie van een programma? Installatie van een OS update? Je kan dus veranderen wat je wil, zolang je maar geen herstart uitvoert?

[jwd42]

Nee, de auteur haalt een paar dingen door elkaar. Het is mogelijk om aanpassingen te maken en die aanpassingen te gebruiken, maar die gaan pas in na een herstart (extra software, updates etc). Wijzigingen in de root kunnen niet zomaar, dan is er foutmelding over een read only bestandssysteem. Bij het opstarten kan gekozen worden voor de vorige versie om wijzigingen ongedaan te maken, vanwege een verkeerde update oid.
Zie https://docs.fedoraproject.org/en-US/fedora-silverblue/ voor meer info.

[Reactie gewijzigd door jwd42 op 23 juli 2024 09:19]

[Palm_freemium]

Volgens mij kun je ook zonder reboot software installeren met RPM-ostree het is alleen "not recomended" net zoals live updates van een regulier Linux OS met APT/Yum/DNF niet recommended is. Ik heb een tijdje terug Fedora SilverBlue kort gebruikt, ik heb uiteindelijk de overstap gemaakt naar de Fedora KDE spin. Ik vond het vreemd dat voor bepaalde tools zoals terminator alsnog met rpm-ostree moesten worden geïnstalleerd en daardoor snapte ik niet helemaal het nut van een immutable OS.

Inmiddels zijn we een paar jaar verder en zou ik SilverBlue of Onyx best een herkansing willen geven, maar mijn systeem draait nog prima dus ben ik nog niet toe aan een reinstall.

[jwd42]

Klopt, maar ik wilde de uitleg niet te ingewikkeld maken.

Het nut is (voor mij) is voornamelijk dat os updates / upgrades kort duren en op de achtergrond kunnen. Als ik dan de volgende werkdag de laptop opstart is het de nieuwe versie. Als die niet goed werkt ga ik via het opstartmenu er eentje terug. Het is verder super eenvoudig om weer een "schone" install te krijgen door deze te resetten. Ik heb zelf ook gewoon een aantal dingen (nvidia drivers) in een overlay zitten.

[rob12424]

Ik hoop wel beter uitgewerkt dan Ubuntu Touch. Vooral op de Pinetab is dat een draak.

[Grauw]

Nuttig denk ik voor openbare computers, zoals bij bibliotheken?

[2green]

Ik heb mij er nooit in verdiept, maar meende dat diverse distributies.waaronder Ubuntu hiervoor een kioskmode leveren.

Andere insteek natuurlijk. Zie ook wel voordelen in een combinatie.

[UPPERKEES]

Het werkt hetzelfde als je Android of iOS systeem. Je systeem is immutable en je apps zijn sandboxed. Dus niet handig voor alleen bibliotheken, voor idereen kan het handig zijn.

[GekkePrutser]

Daarvoor wil je nog een stapje verder gaan eigenlijk, want je kan natuurlijk nog wel als gebruiker zaken installeren (en daarmee 'persistence' van malware bereiken).

Wat ik destijds deed in de jaren '2000 toen ik een aantal "internet cafe" PC's beheerde, was elke keer via een netwerk bootrom opstarten en het hele OS overschrijven. Daardoor kon er nooit rotzooi achterblijven. Voor updates had ik 1 "bron" PC die ik af en toe update en dan kloonde naar het image. Het was nog Windows 98 dus best klein en dat ging wel aardig. Duurde iets meer dan een minuut en dat was een compleet schone omgeving wel waard.

We hadden vooral Chinezen die veel rotzooi installeerden. Van die 'grappige' poppetjes die over je scherm lopen en IM appjes en apps die je toetsenbord invoer ombouwden zodat je alleen nog maar Chinees kon typen. Daardoor was het wel noodzakelijk om dit elke keer te wipen. Handige met die bootrom was dat je gewoon de PC aan/uit kon zetten zelfs als die helemaal naar Chinees was omgezet. Westerse backpackers installeerden vooral MSN elke keer. Sommigen van die dingen had ik wel in het standaard 'image' zitten uiteindelijk.

In het begin had ik een scriptje dat alles wiste behalve een lijst bekende files, en het hele registry terugzette (op Windows 95 was dat gewoon een paar gewone bestanden) maar dat was niet voldoende, de bovenstaande oplossing werkte wel goed en was nog in gebruik toen ik daar vertrok. Tegenwoordig zijn internet cafe's natuurlijk allang passe.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 09:19]

[kabelmannetje]

Alle verandering aan de kern van het systeem, zijn onmogelijk. Vergelijk het met Android. Het OS kan je niet aanpassen, de apps wel.

Dus, systemtools, Gnome, Kernel, configs, etc is immutable. Ook als root kan je dat niet wijzigen. De applicaties die je nodig hebt kan je dan middels een packagemanager installeren in je eigen homedirectory. Je kan het nog ernstiger beperken door alleen Flatpak te accepteren. Dan zit er tussen applicaties ook nog eens sandboxing. Met snapshots, kan je het systeem zo weer terugrollen naar een eerdere state.

[Reactie gewijzigd door kabelmannetje op 23 juli 2024 09:19]

[Gamebuster]

Toch raar dat iets dat "read-only" genoemd wordt, niet echt read-only is. Als je je PC een jaar aan laat staan, kan het net zo goed niet read-only zijn.

[i-chat]

het is niet zozeer zo dat het niet readonly is, het is meer dat de basis in beginsel dus onaangetast blijft en dat alle wijzigingen in een soort ramdisk-achtige constructie worden gehouden tot het moment dat je die weizingen ook daadwerkelijk toepast.

voor normale mensen lijkt het in de praktijk nog het meest op wat er gebeurt met snapshots en hoe je die terugzet, maar de onderliggende tech is totaal anders en in bepaalde mate meer solide.

[rob12424]

Je kan met sommige Linux distributies (volgens mij met Gnome ) snapshots maken. Die worden dan weggeschreven en niet over elkaar heen (soort systeem herstel zeg maar)

[L0g0ff]

Ik vroeg me af hoe het zat met de budgie ontwikkeling omdat dit eigenlijk voor Solus ontwikkeld is en Solus zelf op sterven na dood is.

Maar ze hebben het budgie project sinds januari 2022 helemaal van Solus los getrokken en onder gebracht in buddiesofbudgie.

Ik las dat Joshua Strobl (een van de Solus grondleggers) er voor gezorgd dat deze Budgie spin voor Fedora er gekomen is.

[kabelmannetje]

Ik dacht dat Budgie wel een beetje gedaan was. Ik vermoed dat ze Fedora Silverblue gepakt hebben en daar Gnome door Budgie vervangen hebben.

[TweetCu]

Solus gaat niet dood hoor, ze hadden paar maanden een probleem met de server, welke opgelost zou worden door een developer DataDrake, alleen was die niet beschikbaar door persoonlijke problemen had, hierdoor konden de andere devs niet bepaalde problemen oplossen met de servers en website, maar het project lag zeker niet stil, op Github was er leven en waarschijnlijk op de computers van de devs, ook op r/SolusProject op Reddit werd actief geantwoord door JoshStrobl en Staudey over de status de afgelopen maanden.

DataDrake heeft ondertussen een hele tekst gepubliceerd op zijn website om uit te leggen wat er al die tijd aan de hand was:
https://www.datadrake.com...4/19-solace-in-solus.html

De dev is nu vertrokken bij Solus om meer te focussen op haar leven. Ondertussen krijgt Solus weer updates en werkt de forum and bugtracker websites weer. De team achter Solus gaan ook eraan werken om te voorkomen dat dit soort problemen in de toekomst weer gaat gebeuren.

Er komen bij de volgende major versie daarnaast grote veranderingen, want ze gaan Solus re-basen op Serpent OS, welke veel nieuwe dingen bevat, en onder andere ook een immutable OS.

Je kan hier meer erover lezen:
https://getsol.us/2023/04/18/a-new-voyage/

[Reactie gewijzigd door TweetCu op 23 juli 2024 09:19]

[L0g0ff]

Ah, ik wist wel dat DataDrake het stokje had overgenomen als lead maar het was me niet duidelijk dat ze ondertussen al weer vertrokken was. Tnx voor je uitleg.

Kleine toevoeging. DataDrake is een dame

Dan laat ik solus mooi op de laptop van mijn vrouw staan. Want het bevalt me prima verder.

[Reactie gewijzigd door L0g0ff op 23 juli 2024 09:19]

[TweetCu]

Graag gedaan.

Kleine toevoeging. DataDrake is een dame

Ja, je hebt gelijk, ik wist dat ook, maar denk dat ik door automatisme 'zijn' had geschreven . Heb het verbeterd.

Dan laat ik solus mooi op de laptop van mijn vrouw staan. Want het bevalt me prima verder.

Ja, hetzelfde bij mij bij een kennis, het werkt al zo goed al jaren, die gebruikt het tevreden met printer, scanner, LibreOffice, Firefox en al. Hoef mij geen zorgen te maken dat Windows 10 niet meer ondersteund is of dat ze er troep op installeren ofzo, het gaat gewoon blijven werken, en herinstallatie hoeft ook voorlopig niet met een rolling release model.

Het is daarnaast ook erg fijn dat Solus een meldingpopupje weergeeft bij het opstarten dat er updates beschikbaar zijn, want dat ziet er eng en Super belangrijk uit voor de digibeten en dan is het makkelijker om ze zelf automatisch elke dag of week updates te laten uitvoeren, want ze willen wel natuurlijk dat hun PC goed blijft werken .

Zou willen dat meer distro's een eng en belangrijk uitziende tekst in een pop-up'je zouden gebruiken voor update notificatie, in plaats van een onopvallende icoontje, of verwachten dat de gebruiker het wel weet door zelf naar de software center te gaan, want zal zeggen, die werken allemaal voor geen meter bij digibeten, ze vergeten Allemaal na 1 of 2 weken voorgoed om te updaten, zelfs al weten ze dat het belangrijk is (door dat jij zegt dat het belangrijk is).

[L0g0ff]

Ja daar ben ik het wel mee eens. Windows besluit na X tijd de updates uit zichzelf te downloaden en installeren. Op zich vervelend als het even niet uitkomt. Maar voor de bulk werkt dat prima.

Gewoon standaard die updates downloaden in de achtergrond en pushen bij een shutdown zou voor Linux ook prima gaan.

[GekkePrutser]

Apple doet dit ook tegenwoordig. Ik ben er geen fan van, ik wil zelf altijd de regie kunnen behouden.

Readonly maken okee, maar ik wil zelf wel eigen veranderingen kunnen doorvoeren. Bij Apple is het alles of niets (je kan alle beveiliging wel uitschakelen maar dan blijft er ook niks over). Zelf je eigen wijzigingen signen kan niet, het is apple vertrouwen of niets.

Voorlopig gebruik ik FreeBSD, dat houdt de OS (/<xxx> ) en user-installed (/usr/local/<xxx> ) goed apart en daardoor kan je goed de IDS functie gebruiken om dingen te bewaken. Maar een security admin rol om de root aan te passen (een beetje zoals selinux doet) zou wel een handige optie zijn eventueel.

De leverancier steeds meer vertrouwen is echter geen optie voor mij. Vergeet ook niet dat Apple dit ook doet om DRM zaken te beschermen, zoals het installeren van iOS apps. Dus ze willen je niet overal in hebben.

[kabelmannetje]

Het is ook niet voor gebruikers als jij bedoeld. Maar wel voor grote (customized) uitrol in bijvoorbeeld bedrijven, kiosks, dat soort zaken. Het is onmogelijk iets lokaal te wijzigen. De applicaties zijn persoonsgebonden of met bijvoorbeeld Flatpaks, gescheiden van OS en elkaar.

Ik heb wel eens met Silverblue gespeeld. Prachtige techniek zie zeker bepaalde behoeften vult.

[Reactie gewijzigd door kabelmannetje op 23 juli 2024 09:19]

[GekkePrutser]

Nou, zoals ik zeg: Apple gebruikt een dergelijke setup wel degelijk voor consumenten inmiddels: de Signed System Volume: https://support.apple.com...security-secd698747c9/web

Dus de techniek ansich wordt wel degelijk ook ingezet voor consumentendoeleinden. Wel vooral geschikt voor consumenten die vooral standaard appjes gebruiken en niet teveel aan het systeem willen rommelen. Dat was ook een van de redenen dat ik van macOS afgestapt ben. Maar steeds meer OS'en gaan deze kant op en echt niet alleen voor kiosks. Vergeet ook niet dat dit al heel gewoon gevonden wordt op mobiele apparaten.

Windows is nog niet zo ver maar gezien het verplichten van een TPM voor Windows 11 denk ik dat ze die kant ook op willen. Apple heeft het voordeel dat ze hardware en software end to end bepalen en daarom hebben ze iets gebouwd wat te beschrijven is als Secure Boot in het kwadraat

Dit heeft ook vervelende nadelen, als je bijvoorbeeld je sshd_config wil aanpassen, wordt de aangepaste file heel passief-agressief op de desktop gepleurd na een update (in elk geval een paar versies geleden, inmiddels gebruik ik het niet meer zo veel). Voor mij was dit een belangrijke mogelijkheid om te kunnen doen, want Apple staat standaard paswoorden toe over SSH en ik wil gewoon alleen keys toestaan.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 09:19]

[kabelmannetje]

Dus wat Apple doet, gaat Linux dus iedereen ook opdringen?

Nee. Valse analogie.

[GekkePrutser]

Er is niet een enkel "Team Linux" op dit gebied natuurlijk. Linux is alleen de kernel en dit soort beslissingen liggen bij het OS, in de Linux wereld dus de distributies. Dat er een of meerdere distros deze richting op gaan voor consumenten gebruik kan ik me wel voorstellen. Just de distro die zich het meest op consumenten richt: Ubuntu, is al heel hard bezig met containers wat goed bij een inmutable OS past.

Ik ben er geen voorstander van maar ik denk wel dat de consumenten techniek steeds meer deze kant op gaat.

[kabelmannetje]

Opnieuw, wat Apple doet, gaat Linux niet per definitie kopiëren. Zeker niet zaken als deze.