Flatpak: avvio di un'applicazione permessa come root ma non come utente [RISOLTO]

[gian_d]

Ieri ho scoperto che c'è una versione costruita per Linux con il reverse engineering di un vecchio gioco per Windows 95, Pinbal Cadetto 3D, installabile via Flatpak. Penso che questo gioco sia una delle poche cose ben riuscite fatte da Microsoft (considerazione personale) ed essendo un appassionato del vecchio flipper non mi sono lasciato perdere l'occasione per rispolverare antiche ludiche passioni.

Detto questo, ho installato flatpak con tutte le dipendenze e poi Pinbal. Non avendo alcuna esperienza con Flatpak ho seguito un'istruzione trovata sul Web e ho installato l'applicazione come root con il seguente comando

Codice: Seleziona tutto

# flatpak install flathub com.github.k4zmu2a.spacecadetpinball

Sono apparsi alcuni avvisi che riferivano di impostazioni mancanti relative alla variabile d'ambiente XDG_DATA_DIRS ma non gli ho dato peso, rimandando ad un secondo momento. Oggi mi sono trovato nel menu il launcher per il gioco ma non parte. Ho perciò provato da terminale ritoccando alcuni settaggi a seguito degli errori restituiti. Comunque succede questo
1) il comando /usr/bin/flatpak --user run --command=SpaceCadetPinball com.github.k4zmu2a.spacecadetpinball restituisce questo output:

Codice: Seleziona tutto

error: app/com.github.k4zmu2a.spacecadetpinbal/x86_64/master not installed

2) se eseguo lo stesso comando togliendo il parametro --user (/usr/bin/flatpak run --command=SpaceCadetPinball com.github.k4zmu2a.spacecadetpinball) restituisce questo output:

Codice: Seleziona tutto

bwrap: Can't mount proc on /newroot/proc: Operation not permitted
error: ldconfig failed, exit status 256

3) se eseguo lo stesso comando da terminale (con Konsole) come root (su ecc.) compare invece questo output:

Codice: Seleziona tutto

Note that the directory 

'/root/.local/share/flatpak/exports/share'

is not in the search path set by the XDG_DATA_DIRS environment variable, so
applications installed by Flatpak may not appear on your desktop until the
session is restarted.

Using SDL renderer: opengl
Loading game from: /app/bin/PINBALL.DAT
ALSA lib ../../pulse/pulse.c:242:(pulse_connect) PulseAudio: Unable to connect: Access denied

SDL Error: Invalid audio device ID
SDL Error: Invalid audio device ID

Ma la cosa importante, al di là degli avvisi e degli errori riportati, è che il gioco si avvia. Quindi c'è sicuramente qualcosa che avrei dovuto fare ma non ho fatto per rendere avviabile l'applicazione come utente normale, ma non so che pesci pigliare.

Qualcuno può darmi una dritta? Mi urta parecchio l'idea di usare l'account di amministratore per un banale gioco.
Grazie

[joe]

Ho provato e da me funziona, Nei comandi sopra c'è un attimo di confusione.
Se vuoi installare il programma a livello di sistema che solitamente è la scelta consigliata allora come root devi prima verificare se hai il "remote" caricato, sarebbe il server da cui pesca i programmi, nel tuo caso è flathub, dovresti ottenere una roba del genere:

Codice: Seleziona tutto

# flatpak remotes -d
Name    Title   URL                          Collection ID Subset Filter Priority Options … … Homepage             Icon
flathub Flathub https://dl.flathub.org/repo/ -             -      -      1        system  … … https://flathub.org/ https://dl.flathub.org/repo/logo.svg

Se non hai quella roba significa che devi aggiungere "flathub", vedilo come un repo da aggiungere a slackpkg o ad apt...
Per farlo:

Codice: Seleziona tutto

# flatpak remote-add flathub https://flathub.org/repo/flathub.flatpakrepo

A questo punto ho cercato il nome del programma, sempre da root:

Codice: Seleziona tutto

# flatpak search spacecadetpinball
Name              Description                                                                        Application ID                      Version Branch Remotes
Space Cadet Pinb… Reverse engineering of 3D Pinball for Windows - Space Cadet, a game bundled with … …m.github.k4zmu2a.spacecadetpinball 2.0.1   stable flathub

Infine lo ho installato con:

Codice: Seleziona tutto

 flatpak install spacecadetpinball

Chiede conferma per installare un paio di dipendenze, ho risposto di yes e via.
A fine installazione verifico che sia installato, il seguente comendo ti mostra tutti programmi installati nell'ambiente flatpak. Puoi darlo anche da utente semplice in questo caso.
# flatpak list
Name Application ID Version Branch Installation
Space Cadet Pinball com.github.k4zmu2a.spacecadetpinball 2.0.1 stable system

Se installi così flatpak cioè a livello di sistema e non di utente, non usare lo switch "--user", quello si usa se installi a livello di singolo utente (via sconsigliata se non è per fare test particolari).
In sintesi per lanciare il tuo programma, questa volta lo lancerai come utente semplice:

Codice: Seleziona tutto

$ flatpak run com.github.k4zmu2a.spacecadetpinball

E lui parte. Almeno da me.
Spero che dai comandi sopra tu abbia abbastanza informazioni per verificare che i passaggi da te siano andati tutti a buon fine. In particolare occhio alle dipendenze in fase d'installazione.
Al limite rimuovi tutto usando flatpak --all --delete-data.
Intendo se hai installato solo quel programma lì...
Poi provi a fare i passaggi che ho riportato.

Per XDG_DATA_DIR dovrebbe essere impostato da /etc/profile.d/flatpak.sh che fa parte del pacchetto flatpak, almeno se lo hai installato da SBo.

[gian_d]

Sì, ho installato da SBo
Ho capito poco di quello che hai scritto, ma perché ho letto velocemente e perché a quest'ora sono fuso. Domani appena ho un po' di tempo mi studio la cosa con calma.
Grazie

[gian_d]

Niente da fare, tutto quello che hai indicato l'avevo fatto. Per dubbio ho resettato e rifatto l'installazione seguendo tutti i passi indicati.

con il comando flatpak run com.github.blablabla mi compare questo messaggio

Codice: Seleziona tutto

bwrap: Can't mount proc on /newroot/proc: Operation not permitted
error: ldconfig failed, exit status 256

A questo punto non so se il problema sia causato da flatpak oppure da bubblewrap

Nell'ultimo tentativo ho eseguito il comando

Codice: Seleziona tutto

flatpak install spacecadetpinball

da utente (nella prima installazione l'avevo eseguito come root) e al prompt che mi chiedeva che tipo di installazione volevo eseguire (system o user) ho scelto system. Durante l'installazione delle dipendenze mi chiedeva poi la password di root.
Un'altra cosa strana è che nell'output, ad ogni dipendenza installata, compariva un warning per non so quale operazione, non ricordo (una cosa tipo revoke-non-ricordo) e che faceva riferimento all'inesistenza dell'utente flatpak in /etc/passwd. Devo forse creare un utente/gruppo flatpak?

In ogni modo, a questo punto provo a fare un'installazione integralmente da utente, tanto il gioco lo deve usare solo un account.

PS: ho notato comunque che questo problema ha parecchie segnalazioni, in sostanza si riesce ad avviare l'applicazione solo con sudo e, quindi, con i privilegi di amministratore. boh...

[joe]

Metteresti il link allo slackbuild per il pacchetto flatpak che hai installato...
Sei su Slackware-15.0 ?

EDIT
Verifica anche questa roba già che sei di strada, posta pure l'out:

Codice: Seleziona tutto

 zcat /proc/config.gz |grep CONFIG.*_NS=
 

[gian_d]

Metteresti il link allo slackbuild per il pacchetto flatpak che hai installato...

Ho usato tal quale lo sb del repository di Ponce:

https://github.com/Ponce/slackbuilds/tr ... op/flatpak

Sei su Slackware-15.0 ?

sì

EDIT
Verifica anche questa roba già che sei di strada, posta pure l'out:

Codice: Seleziona tutto

 zcat /proc/config.gz |grep CONFIG.*_NS=
 

Codice: Seleziona tutto

CONFIG_UTS_NS=y
CONFIG_TIME_NS=y
CONFIG_IPC_NS=y
CONFIG_USER_NS=y
CONFIG_PID_NS=y
CONFIG_NET_NS=y
CONFIG_NF_CONNTRACK_NETBIOS_NS=m
CONFIG_RPMSG_NS=m
CONFIG_GENERIC_VDSO_TIME_NS=y

Ultimo aggiornamento: ho provato anche a fare un'installazione utente, nulla da fare, continua a comparirmi questo output (anche con il comando flatpak --user run):

Codice: Seleziona tutto

bwrap: Can't mount proc on /newroot/proc: Operation not permitted
error: ldconfig failed, exit status 256

[joe]

Ok, è la stessa versione di flatpak che sto usando anch'io, anche se sono sulla 14.2 quindi qualcosa di differente può esserci.

Il kernel dovrebbe andar bene come configurazione, CONFIG_USER_NS settato a "n" o assente poteva portare a problemi con l'avvio di flatpak:

https://github.com/flatpak/flatpak/wiki ... quirements

Nel link descrivono due impostazioni per usare "flatpak run" da utente semplice, la prima appunto riguarda la configurazione del kernel nell voci che hai riportato, e quella va bene nel tuo caso. La seconda ha a che fare con sysctl, quindi immagino systemd che noi su slackware non abbiamo per cui non so dirti, ma probabilmente il problema è un altro.

Nel frattempo un tentativo veloce puoi farlo col seguente comando eseguito da root dopo aver messo in piedi l'installazione del repo, della app e dipendenze a livello di sistema. Lascierei perdere per il momento il discorso "--user", non è quello il punto, complica solo le cose per capire.
Prova un po':

Codice: Seleziona tutto

$ su -

# flatpak repair

Chissà che non vada tutto apposto automagicamente.

[gian_d]

1) provato ennesima reinstallazione creando anche utente e gruppo flatpak, ma non cambia nulla
2) provato anche flatpak repair, non cambia nulla

A questo punto o c'è un problema con la Slackware 15 oppure con bubblewrap

Nel primo caso ho trovato un contesto molto simile al mio: https://www.linuxquestions.org/question ... ost6331551

Per quanto concerne bubblewrap, c'è un contesto non del tutto simile ma analogo che sarebbe stato risolto agendo su owner e permessi dell'eseguibile bwrap. Il contesto è riportato qui: https://discourse.nixos.org/t/flatpak-r ... solved/879
Per tagliare, riporto l'ultimo post, quello determinante:

Codice: Seleziona tutto

$ zcat /proc/config.gz | fgrep CONFIG_USER_NS
# CONFIG_USER_NS is not set

Before recompiling kernel, I tried this:

$ sudo chown root:root /nix/store/q67sv4bhq6snp4r6cbh79s9zknvqg78h-bubblewrap-0.3.0/bin/bwrap
$ sudo chmod u+s /nix/store/q67sv4bhq6snp4r6cbh79s9zknvqg78h-bubblewrap-0.3.0/bin/bwrap
$ flatpak run org.foo.Bar # works!

I’ll mark as solved.

gli attributi del mio bubblewrap sono questi:

Codice: Seleziona tutto

-rwxr-xr-x 1 root root 56400 giu 22  2021 /usr/bin/bwrap*

Non so che settaggio imposti l'attributo s, devo documentarmi. Possibile che dipenda tutto da questo? mah...

[gian_d]

MA PORC....

Codice: Seleziona tutto

# chmod u+s /usr/bin/brwap

Funziona!

Codice: Seleziona tutto

gian@giand:~$ flatpak run com.github.k4zmu2a.spacecadetpinball
Using SDL renderer: opengl
Loading game from: /app/bin/PINBALL.DAT
SDL Error: Couldn't open timidity.cfg

A prescindere dall'errore di SDL, tutto il resto funziona, il gioco si avvia, compreso l'audio (mi aspettavo qualche problemino con Pulse, invece niente)

Grazie per l'aiuto joe. Prezioso e pazientissimo come sempre!

[joe]

Setuid root. L'eseguibile bwrap anche se richiamato da un processo lanciato come utente semplice, lavora come se fosse stato lanciato da root.

Non è la soluzione ottimale, e te la sconsiglio, potrebbe non essere la causa del tuo problema, perché da quel punto di vista hai già impostazioni nel kernel OK che dovrebbero essere alternative a settare +s l'eseguibile.

Rileggiti il link che ti ho messo.

Setuid bubblewrap

This mode is a fallback for older operating systems where the kernel either does not support user namespaces, or has been configured to disallow their use by unprivileged users.

In pratica quell'impostazione è un ripiego per vecchi sistemi.
Ti dirò, se funziona sulla mia vecchia slack14.2, l'inghippo sulla tua 15.0 deve essere un altro.
Comunque a livello di prova temporanea puoi vedere se risolve. Poi setti "-s" e torni alla situazione più canonica.

Verifica anche:

Codice: Seleziona tutto

ls -l /etc/profile.d/flatpak.sh

echo $XDG_DATA_DIRS

[gian_d]

sembra tutto normale in questo caso:

Codice: Seleziona tutto

root@giand:/home/gian# ls -l /etc/profile.d/flatpak.sh
-rwxr-xr-x 1 root root 831 feb 22 22:09 /etc/profile.d/flatpak.sh*

root@giand:/home/gian# echo $XDG_DATA_DIRS
/home/gian/.local/share/flatpak/exports/share:/var/lib/flatpak/exports/share:/usr/local/share:/usr/share

Niente, riportando bwrap agli attributi originari (chmod u-s) mi restituisce sempre "Can't mount proc on /newroot/proc: Operation not permitted"
Va be', ho reimpostato la situazione normale, al limite uso all'occorrenza quel diverso settaggio quando mi voglio fare una partita, almeno fino a quando si riesce a risalire al problema reale. Ci sono diversi riferimenti in rete, a tempo perso me li controllo tutti, chissà che non salti fuori la soluzione.

[joe]

Purtroppo dalla 14.2 non posso fare tante prove e verificare ma tieni il link che ho messo come punto di partenza. In particolare:

If you are designing an operating system or tuning system parameters, the requirements for this mode are:

The bwrap or flatpak-bwrap executable must not be setuid root: its permissions should usually be -rwxr-xr-x (0755).
The kernel must have at least CONFIG_USER_NS=y enabled. Other namespace features like CONFIG_PID_NS=y are recommended.
sysctl parameters that limit namespace creation, such as user.max_user_namespaces and user.max_mnt_namespaces (/proc/sys/user/max_user_namespaces and so on) must be set to a sufficiently large value. The default value is usually suitable: it depends on available RAM and is usually in the tens of thousands.
If the kernel has been patched to add a kernel.unprivileged_userns_clone sysctl (/proc/sys/kernel/unprivileged_userns_clone), then that option must be set to 1.

te lo rimetto qui per comodità:

https://github.com/flatpak/flatpak/wiki ... quirements

Nel tuo caso farei ancora qualche verifica semplice:

Codice: Seleziona tutto

$ ls -l $(which bwrap)
-rwxr-xr-x 1 root root 56408 ago 30 14:00 /usr/bin/bwrap
$ bwrap --version
bubblewrap 0.4.0

$ cat /proc/sys/user/max_mnt_namespaces
15675
$ cat /proc/sys/user/max_user_namespaces
15675

Controlla anche l'ultimo file del kernel.. da me non esiste neanche ad ogni modo:

Codice: Seleziona tutto

/proc/sys/kernel/unprivileged_userns_clone

Verifica con "cat" cosa contiene.

Infine un'idea abbastanza a casaccio: bubblewrap è alla versione 0.6, il pacchetto SBo è fermo alla 0.4. Sulla mia 14.2 la cosa può anche andare, ma forse sulla nuova 15.0 potrebbe essere che per qualche santo la nuova versione sia più "integrata" con il nuovo ambiente e la vecchia non funzioni come dovrebbe.

[gian_d]

allora, ho aggiornato bubblewrap alla 0.6 ma non cambia nulla. Ho provato anche ad aggiornare flatpak all'ultima versione ma la compilazione si ferma perché make cerca un modulo in una directory che in realtà nel sorgente è vuota

le verifiche che mi hai detto di fare con cat a me non dicono niente, sono fuori dalla mia portata:

Codice: Seleziona tutto

gian@giand:~$ cat /proc/sys/user/max_mnt_namespaces
63571
gian@giand:~$ cat /proc/sys/user/max_user_namespaces
63571

Invece la verifica sul kernel mi restituisce una cosa sospetta (che possa dipendere da quello?):

Codice: Seleziona tutto

gian@giand:~$ cat /proc/sys/kernel/unprivileged_userns_clone
cat: /proc/sys/kernel/unprivileged_userns_clone: File o directory non esistente

If the kernel has been patched to add a kernel.unprivileged_userns_clone sysctl (/proc/sys/kernel/unprivileged_userns_clone), then that option must be set to 1

che debba ricompilare il kernel!? Non so se ne valga la pena, ho ricompilato il kernel una sola volta quasi 18 anni fa, è stato bello ma l'esperienza mi ha soddisfatto per tutto il resto della vita

[joe]

No non devi ricompilare nulla, quel monito dice solo che
- SE hai ricompilato il kernel applicando l'apposita patch "unprivileged_userns_clone (ma non è il tuo caso, infatti come da me il file corrispondente in /proc è assente)
- allora quell'opzione in sysctl deve essere impostata a "1".

Puoi provare a fare un tentativo, poco sensato a dire il vero, ma dal costo esiguo:

Codice: Seleziona tutto

echo 1 > /proc/sys/kernel/unprivileged_userns_clone

In pratica crei a mano quel file e gli scrivi dentro "1".
Ma non vedo il senso in quanto dovrebbe essere il kernel a crearlo e lo farebbe sole se fosse stato pathcato.
Nel tuo caso non lo hai patchato e quella manovra di scrittura forzata a mano non dovrebbe avere alcun esito. Non fa neanche danni comunque perché tutto quello che è in /proc viene generato all'avvio quindi è roba eterea.

No guarda l'unica è vedere se anche qualcun altro che ha aggiornato alla 15.0 può fare una prova installando flatpak, quindi installando il repo flathub, e infine aggiungendo il pacchetto spacepinball o come si chiama.

Hai provato con altri programmi?
Ad esempio prova ad installare ad esempio Scribus (flatpak install net.scribus.Scribus). Rispondi sì se ti propone l'installazione delle relative dipendenze.
Poi prova ad avviarlo con (flatpak run net.scribus.Scribus).

Tanto per vedere se il problema si manifesta con tutti i programmi o se magari sia specifico del giochino che dicevi, ma dubito perché riguarda proprio la messa in piedi della sandbox di flatpak. Ad ogni modo tentar non nuoce, mi sembra molto strano che da me non dia problemi mentre lì sì... però come ti dico non avendo ancora la 15.0 non posso verificare più di tanto su un sistema simile al tuo.

[gian_d]

la creazione forzata di quel file in /proc/sys/kernel non mi è permessa: in sostanza mi restituisce come inesistente il file, probabilmente perché la directory /proc non ha i permessi di scrittura

Per quanto riguarda altri programmi, ho provato con Scribus ma si presenta lo stesso problema. Insomma, non c'è verso di cavarne qualcosa, domani mi armo di pazienza e cerco tutti i possibili riferimenti in rete a casi simili. Ribadisco, questo problema l'hanno incontrato anche altri, perciò ci deve essere qualche incompatibilità associata ad eventuali aggiornamenti oppure a specifiche configurazioni.
Potrebbe anche essere necessario aggiornare flatpak, ma devo capire come superare quell'intoppo nella compilazione.