Sandboxing mit Flatpak kann auch einen guten Schutz bieten, sofern keine problematischen Berechtigungen gewährt werden (z. B. --socket=x11, --filesystem=host, --filesystem=home, --device=all, --talk-name=org.freedesktop.Flatpak).
Denn nur wenn Apps optimiert sind, funktioniert ein sicheres System so einfach. Host-Zugriff ist nicht benötigt, wenn die App deinen Home-Ordner lesen+schreiben kann, kann sie .bashrc ändern, dein sudo passwort klauen, und sich erhöhte Privilegien verschaffen.
Und vor allem alteingesessene Apps wie Libreoffice, GIMP, Inkscape, etc. funktionieren nur mit home-zugriff.
Ich habe insgesamt gute Erfahrungen mit GNOME Circle-Apps gemacht. Da es sich um relativ moderne, explizit für Linux entwickelte Apps handelt, nutzen sie überwiegend sicherere Schnittstellen wie Portals und Wayland. Das GNOME-Design und der oft geringe fokussierte Funktionsumfang ist aber natürlich nicht für jeden etwas.
GNOME apps sind SEHR nach der “Unix philosphy”, was sie oft nicht sehr nutzbar macht. Neben dem extrem veralteten und überkomplexen GIMP ist Gwenview von KDE zum beispiel eine extrem moderne anwendung zum schnellen bearbeiten und betrachten, GNOME hat so etwas nicht, Loupe ist zwar fancy sicher und in Rust, aber kann nicht mal “automatisch das Fenster ausfüllen” und andere basic features.
Wenn du apps empfehlen kannst, gerne einen PR machen und ich schau sie mir an. Ist generell ein mix, ja GNOME und KDE apps sind oft sehr modern. Celluloid zb ist sehr modern und der einzige so moderne videoplayer.
Ich vermisse immer noch einen musikspieler und natürlich die großen apps wie Libreoffice, GIMP, Inkscape usw. Auch cross platform apps wie Cryptomator sind kritisch (sie sind aktiv gegen sandbox-speicher, als ob man die Flatpak mit einer anderen Variante tauschen würde).
Ich weiß nicht wie aufwändig es ist, jeden filechooser mit dem nativen portal zu ersetzen, aber das würde schon einiges verbessern.
Sandboxing mit Flatpak kann auch einen guten Schutz bieten, sofern keine problematischen Berechtigungen gewährt werden (z. B.
--socket=x11,--filesystem=host,--filesystem=home,--device=all,--talk-name=org.freedesktop.Flatpak).Richtig, aber das schützt nicht vor dem Ausführen von random Dateien.
Wenn du Flatpak Apps empfehlen kannst gerne sagen.
Ich bin etwas involviert in secureblue (aber der ersteller mach 99% aller arbeit) und habe ein Repository mit einer Sammlung solcher moderner Apps
Denn nur wenn Apps optimiert sind, funktioniert ein sicheres System so einfach. Host-Zugriff ist nicht benötigt, wenn die App deinen Home-Ordner lesen+schreiben kann, kann sie .bashrc ändern, dein sudo passwort klauen, und sich erhöhte Privilegien verschaffen.
Und vor allem alteingesessene Apps wie Libreoffice, GIMP, Inkscape, etc. funktionieren nur mit home-zugriff.
Ich habe insgesamt gute Erfahrungen mit GNOME Circle-Apps gemacht. Da es sich um relativ moderne, explizit für Linux entwickelte Apps handelt, nutzen sie überwiegend sicherere Schnittstellen wie Portals und Wayland. Das GNOME-Design und der oft
geringefokussierte Funktionsumfang ist aber natürlich nicht für jeden etwas.GNOME apps sind SEHR nach der “Unix philosphy”, was sie oft nicht sehr nutzbar macht. Neben dem extrem veralteten und überkomplexen GIMP ist Gwenview von KDE zum beispiel eine extrem moderne anwendung zum schnellen bearbeiten und betrachten, GNOME hat so etwas nicht, Loupe ist zwar fancy sicher und in Rust, aber kann nicht mal “automatisch das Fenster ausfüllen” und andere basic features.
Wenn du apps empfehlen kannst, gerne einen PR machen und ich schau sie mir an. Ist generell ein mix, ja GNOME und KDE apps sind oft sehr modern. Celluloid zb ist sehr modern und der einzige so moderne videoplayer.
Ich vermisse immer noch einen musikspieler und natürlich die großen apps wie Libreoffice, GIMP, Inkscape usw. Auch cross platform apps wie Cryptomator sind kritisch (sie sind aktiv gegen sandbox-speicher, als ob man die Flatpak mit einer anderen Variante tauschen würde).
Ich weiß nicht wie aufwändig es ist, jeden filechooser mit dem nativen portal zu ersetzen, aber das würde schon einiges verbessern.