Flatpak và tranh cãi về bảo mật: Sandbox có thực sự an toàn?

Trong nhiều năm qua, Flatpak đã trở thành một trong những nền tảng phân phối phần mềm quan trọng nhất trên Linux desktop. Tuy nhiên, nó cũng là tâm điểm của không ít tranh cãi, đặc biệt là quanh vấn đề bảo mật. Bài viết này sẽ mổ xẻ những cáo buộc phổ biến và đưa ra góc nhìn khách quan hơn.

Bối cảnh: Từ server đến desktop

Linux đã thống trị thế giới server và thiết bị nhúng hơn 20 năm qua, nhưng lại gặp khó khăn trên thị trường desktop khi Windows và macOS liên tục chiếm ưu thế. Trong thập kỷ qua, tình hình đã thay đổi đáng kể nhờ các công nghệ như Flatpak, Wayland, Portals, PipeWire và FreeDesktop.

Trên server, các kỹ sư từ lâu đã quen với việc chạy nhân (kernel) và thư viện cũ hàng chục năm để đảm bảo uptime. Khi cần phần mềm hiện đại hơn, họ sử dụng container – công nghệ đóng gói phần mềm cùng các phụ thuộc vào một "hộp" cách ly, với quyền truy cập hạn chế vào hệ thống gốc.

Flatpak ra đời năm 2015, mang tư duy containerization từ server áp dụng vào desktop. Cùng với Portals và Freedesktop SDK, nó cung cấp một nền tảng và API nhất quán cho các nhà phát triển, thay vì tình trạng mỗi bản phân phối Linux lại có phiên bản thư viện và định dạng đóng gói khác nhau.

Cáo buộc "Flatpak là cơn ác mộng bảo mật"

Các bài viết chỉ trích Flatpak thường có xu hướng chọn lọc những trường hợp tệ nhất để khẳng định rằng Flatpak không đáng được ủng hộ. Vấn đề là gì?

• Nhiều ứng dụng 10 năm tuổi trên Flathub vốn được thiết kế cho môi trường không có sandbox
• Các API cần thiết cho việc cách ly có thể chưa tồn tại vào thời điểm đó, hoặc nhà phát triển chưa cập nhật
• Một số ứng dụng phải dùng quyền tĩnh (static permissions) vì API mới chưa đủ trưởng thành

Việc lấy những ứng dụng cũ ra để chứng minh sandbox của Flatpak "không phải sandbox" là lập luận không hợp lệ. Nó chỉ cho thấy chính các ứng dụng đó thiếu bảo mật.

Tác giả nhấn mạnh: Flatpak là một sandbox, và Flatpak an toàn. Các ứng dụng mới là thứ không an toàn. Việc sandbox của một số ứng dụng chưa đạt chuẩn iOS hay Android không có nghĩa nó không phải sandbox. Thay vì phá bỏ, chúng ta nên tập trung cải thiện tình hình.

Ví dụ thực tế: Mã độc fractureiser

Một minh chứng rõ ràng cho hiệu quả của sandbox bán phần là vụ mã độc fractureiser nhắm vào hệ sinh thái Minecraft. Dù mã độc này vốn không hoạt động trên Linux, nó vẫn cho thấy cách đóng gói truyền thống thất bại trong việc đối phó với các nguy cơ trên desktop hiện đại.

• Mã độc hard-code đường dẫn ~/.config/, nhưng trong sandbox Flatpak mặc định của PrismLauncher, đường dẫn này không truy cập được
• File được tạo sẽ ghi vào tmpfs và bị xóa khi sandbox khởi động lại
• systemd không khả dụng bên trong sandbox, nên lệnh thực thi của mã độc thất bại

Bài học rút ra: chạy phần mềm "mà bạn tin tưởng" là chưa đủ. Bạn nên dùng PrismLauncher Flatpak và cẩn trọng khi cấp quyền qua các công cụ như Flatseal. Mặc định, nó không có quyền truy cập vào các thư mục cần thiết để xâm hại hệ thống.

Còn chuyện phụ thuộc lỗi thời thì sao?

Đây là lập luận phổ biến khác, nhưng thực tế không đáng lo:

• Runtime được cập nhật ngay khi có bản vá bảo mật cần thiết, đôi khi phá vỡ ABI nếu vấn đề đủ nghiêm trọng
• Nhà phát triển không phải tự kiểm tra và cập nhật thủ công các thư viện đi kèm
• Các thư viện lớn như trình điều khiển GPU có thể được cập nhật riêng, tách khỏi runtime
• Nếu ứng dụng dùng thư viện lỗi thời, sandbox bao quanh vẫn giúp giảm thiểu rủi ro trong lúc chờ nhà phát triển khắc phục

Tương lai của Linux desktop

Mục tiêu là đưa Linux desktop chuyển sang các phương thức phân phối và lập trình thân thiện hơn với sandbox. PipeWire đã mở đường cho nhiều tính năng ấn tượng về âm thanh và video, bao gồm khả năng nhiều ứng dụng cùng truy cập camera. Nhưng vẫn còn một chặng đường dài phía trước.

Chúng ta không thể tiến lên nếu thiếu các phần mềm hiện đại như Wayland và Flatpak, dù ai đó có muốn quay lại sửa chữa Xorg và đóng gói truyền thống đến đâu.

Nếu cứ cố quay về cách làm cũ, thông điệp gửi đến nhà phát triển chỉ là Linux không phải nền tảng đáng để đầu tư. Hệ quả là tình trạng "con gà hay quả trứng" tiếp diễn, và trải nghiệm người dùng cuối ngày càng tệ đi.

Kết luận

Flatpak không phải là vấn đề – nó là một phần của giải pháp. Các lỗ hổng bảo mật đến từ những ứng dụng chưa được cập nhật theo chuẩn mới, không phải từ chính cơ chế sandbox. Với người dùng Linux tại Việt Nam, việc hiểu đúng bản chất sandbox và sử dụng các công cụ như Flatseal để kiểm soát quyền truy cập sẽ giúp bảo vệ hệ thống tốt hơn nhiều so với việc quay lại đóng gói truyền thống.