@luc @ebinger

btw i use arch

@a_siebel @ebinger
Darf ich nicht verraten, sonst bestätige ich die Vorurteile (btw). 😉 😂

Interessantes Ergebnis der Umfrage. Hätte nicht gedacht dass sonstige #Linux Varianten auf so einen hohen Anteil kommen. https://bildung.social/@ebinger/108275935819655401

@ebinger Hätte nicht gedacht, dass immer noch so viele den verstümmelten Snap-Müllhaufen benutzen, den Canonical aus Debian gemacht hat.

@Natureshadow @ebinger Mich wundert, dass Ubuntu an Snap festhält, wo sich doch immer mehr abzeichnet, dass Flatpak sich bei verschiedenen Distributionen durchgesetzt hat.

Die Sonderwege, die Ubuntu ständig wählt sind leider immer wieder eine Bremse für die Entwicklung von Linux.

Unter Manjaro kann man das zum Glück relativ entspannt betrachten, weil man Flatpack, AUR und Snap sehr einfach hinzufügen kann.

@a_siebel @ebinger Normalerweise benutzt man einfach die Pakete der (Debian-)Distribution. Für diesen ganzen schlecht gepflegten DevSexYoloOps-Container-Müll gibt es keinen vernünftigen Grund.

@Natureshadow @ebinger Du meinst auch flatpak? Ich finde es gibt auch Argumente die dafür sprechen: Portabilität ist eines, ein anderes vermutlich auch Sicherheit, da flatpak-Anwendungen Zugriffsrechte erfragen müssen.

Ein Flatpak hat ggf. höhere Chancen gepflegt zu werden als ein Paket in einer Distribution, weil die Nutzerbasis größer ist (weil sie sich auf verschiedene Distributionen verteilt).

@a_siebel @ebinger Das alles macht das Problem, dass man 47 verschiedene, von 47 verschiedenen Leuten vielleicht gepflegte unterschiedlich unsichere Kopien der libc und aller anderer Bibliotheken rumfliegen hat und nachhalten muss, welche wann wo wie gepatcht werden oder nicht, nicht wett.

@a_siebel @ebinger Security-Probleme in Leaf-Paketen sind relativ selten. D.h. im Alltag hängt alles davon ab, wann jemand eine neue Version von libc, curl oder OpenSSL ausliefert. Und das tun alle Distributionen sofort.

@a_siebel @ebinger (Außer RedHat und Oracle, aber die sind irrelevant)

@a_siebel

Glaub ich nicht: Wenn du 10 Flatpacks mit openssl hast, und openssl hat eine Lücke, dann müssen 10 Mainrainer ihr flatpak updaten, bis dein System wieder sicher ist. Wenn du Software ordentlich packetierst, bekommst du durch das Update von openssl in deinem System alle Software gefixt, die das verwendet. Und das jetzt für alle Sicherheitslücken - ich wage zu bezweifeln, dass das für die Anwenderseite von Vorteil ist.

@Natureshadow @ebinger

@ironiemix @Natureshadow @ebinger Ich habe da keine Expertise, weil ich noch kein flatpak erstellt habe - Ist es nicht so, dass Bibliotheken aus den Runtime-Libraries gezogen werden, welche zentral verwaltet werden?

@ironiemix @Natureshadow @ebinger Ich habe mich aber gerade das erste mal damit beschäftigt und verstehe langsam die Problematik - Gibt es denn keinen zentralen Maintainer (flathub?) der die Pakete recompiliert oder muss das wirklich jeder Maintainer selbst machen?

Ich hatte das bisher immer anders verstanden - Auf diese Art wäre das ja tatsächlich einfach ein grober Designfehler.

@ironiemix @Natureshadow @ebinger (Nach meinem Verständnis müssten ja nur Pakete aus den runtimes recompiliert werden, sobald eine neue Version der in den runtimes verlinkten Bibliotheken erscheint - Und das klingt nach etwas, was automatisierbar sein sollte)

@a_siebel @ironiemix @ebinger So weit ich weiß, ist Flathub auch nur ein Maintainer mit einem äußerst suggestiven Namen. Dahinter stecken zwar die Betreiber, aber um fremde Pakete kümmern die sich auch nicht.

@Natureshadow @ironiemix @ebinger Dann muss ich mal schauen, wie Manjaro das mit seinen Flatpak-Paketen macht, denn ein oder zwei habe ich dort installiert.

@Natureshadow @ironiemix @ebinger Ich lade die ja auch nicht herunter, sondern beziehe die über ein Repository - Und prinzipiell muss ich ja immer den Betreibern des Repositories vertrauen - unabhängig von der Technologie der Pakete.

@a_siebel @ironiemix @ebinger Doch, die werden aus dem Repository heruntergeladen. Wie soll das sonst funktionieren?

@Natureshadow @ironiemix @ebinger Wieso "doch"? Genau das schreibe ich ja. Flatpaks könnte man auch Single-Bundled herunterladen, wie AppImages.

Wie sicher das ganze ist, hängt dann davon ab, wie der Betreiber des Repositories mit den flatpacks umgeht. Es wäre ja möglich Dependencies zu scannen und ggf. recompilieren oder apps rauszuwerfen, wenn sich etwas kritisches getan hat.

@a_siebel @ironiemix @ebinger Klar, das ist alles möglich. Und es gibt auch eine sehr zuverlässige Organisation, die das tut: Das Debian-Security-Team ;).

@Natureshadow @ironiemix @ebinger Ich bin nicht unter Debian unterwegs.

@a_siebel Soweit ich weiß nicht, man möge mich korrigieren, flatpaks und Snape hab ich noch nicht selbst gemacht. Sicher kann ich's für docker sagen, da kommt alles im Container und wie die untereinander abhängen, hängt stark vom Autor ab.

@Natureshadow Weiß das, oder?

@ebinger

@a_siebel @ironiemix @ebinger Kommt drauf an, wie der einzelne Maintainer das macht.

@ebinger Ich denke da fehlte zur Auswahl noch die ein oder andere größere #Linux Distribution. Z.B. openSUSE oder Fedora.

Und ein Vorteil von #Linux ist ja gerade, dass man spezialisierte Distributionen wie z.B. openmediavault für ein NAS nutzen kann. Daher nutze ich eigentlich diverse Linux-Varianten. Hinzu kommen noch die im Handy, Fernseher, Fritz-Box, Kamera, ...

@berlac @ebinger jap und es waren auch ausschließlich Debian bzw seine Derivate