Flatpak riceverà un investimento di 508.640 euro dalla Sovereign Tech Agency tedesca, attraverso il Sovereign Tech Fund, per rafforzare la sicurezza, il sandboxing e alcune delle infrastrutture fondamentali utilizzate per distribuire le applicazioni sui desktop GNU/Linux.
Non si tratta semplicemente di finanziare una nuova versione del programma. L'iniziativa durerà due anni, dovrebbe proseguire fino alla fine del 2027 e punta ad affrontare alcuni problemi strutturali che accompagnano da tempo Flatpak e, più in generale, la sicurezza delle applicazioni desktop Linux.
Flatpak ha progressivamente cambiato il modo nel quale il software può essere distribuito sulle diverse distribuzioni GNU/Linux. Un'applicazione confezionata in questo formato può essere installata indipendentemente dal tradizionale sistema di pacchetti della distribuzione e, soprattutto, può essere eseguita all'interno di un ambiente isolato nel quale l'accesso alle risorse del computer viene controllato attraverso permessi e Portals.
Il modello è particolarmente importante nei sistemi cosiddetti immutabili o image-based. Flatpak è infatti il principale metodo di distribuzione delle applicazioni utilizzato da sistemi come Fedora Silverblue, openSUSE Aeon, SteamOS e GNOME OS ed è largamente adottato negli ecosistemi GNOME e KDE.
Ma sandbox non significa automaticamente sicurezza perfetta.
Gli stessi responsabili dell'iniziativa riconoscono che Flatpak presenta ancora alcune limitazioni rispetto ai sistemi di isolamento sviluppati da piattaforme commerciali dotate di risorse economiche molto maggiori, come Android e iOS. Ed è proprio su alcune di queste lacune che verrà concentrato il nuovo investimento.
Un esempio apparentemente piccolo permette di comprendere bene il problema: l'audio.
Oggi concedere a un'applicazione determinati accessi al sistema audio non permette sempre di separare in maniera sufficientemente precisa ciò che serve per riprodurre un suono da ciò che consente di utilizzare un dispositivo di ingresso come il microfono.
Il progetto prevede quindi un nuovo sistema di permessi basato su PipeWire e WirePlumber e un nuovo Portal dedicato all'audio. L'obiettivo è arrivare a una situazione nella quale un'applicazione possa, per esempio, utilizzare gli altoparlanti senza ottenere automaticamente anche l'accesso al microfono.
Ancora più interessante sarà il lavoro sulla rete.
Flatpak dovrebbe ottenere permessi più granulari capaci di distinguere l'accesso al computer che ospita l'applicazione, alla rete locale e a Internet, arrivando anche alla possibilità di controllare specifiche porte. Un programma che necessita soltanto di collegarsi a un servizio Internet non dovrebbe necessariamente poter esplorare anche tutti i dispositivi presenti nella nostra rete domestica.
È inoltre previsto un nuovo VPN Portal, ispirato alle API disponibili su Android e iOS, attraverso il quale applicazioni VPN eseguite nella sandbox potranno gestire in maniera controllata connessioni a livello di sistema.
Il programma di sviluppo comprende anche un Portal condiviso per il controllo ortografico e l'assistenza alla scrittura, lo studio di un sistema sicuro per l'inserimento automatico delle password e nuovi meccanismi per dichiarare in modo più preciso le capacità richieste dalle applicazioni.
Sono interventi poco spettacolari rispetto a una nuova interfaccia grafica, ma riguardano qualcosa di molto più importante: la costruzione di un modello nel quale un'applicazione riceva soltanto le autorizzazioni realmente necessarie al proprio funzionamento.
L'investimento ha però anche un'altra finalità meno immediatamente visibile.
Gli sviluppatori spiegano che negli ultimi anni il lavoro su alcune parti di Flatpak ha rallentato perché si tratta di tecnologie che richiedono competenze molto specialistiche, mentre le risorse umane disponibili per mantenerle sono limitate. Una parte del progetto servirà quindi non soltanto a produrre nuovo codice, ma anche ad aumentare il numero di persone capaci di lavorare su questa infrastruttura e a costruire strutture più solide per il suo mantenimento futuro.
È probabilmente questo l'aspetto politicamente più interessante della notizia.
Il Software Libero viene spesso descritto come software “gratuito”, dimenticando che dietro librerie, protocolli, sistemi di pacchettizzazione, kernel, ambienti desktop e strumenti di sicurezza esistono persone che devono progettare, programmare, verificare e mantenere milioni di righe di codice.
Il fatto che il codice possa essere liberamente utilizzato non significa che produrlo e mantenerlo non abbia un costo.
La Sovereign Tech Agency nasce proprio da questa consapevolezza: considera determinate tecnologie open source una forma di infrastruttura digitale, paragonabile per importanza alle infrastrutture materiali sulle quali funzionano economia e società.
È un cambio di prospettiva significativo.
Invece di limitarsi ad acquistare licenze e servizi da grandi fornitori tecnologici, il settore pubblico può investire direttamente nei beni digitali comuni sui quali poggiano migliaia di altri programmi, aziende, amministrazioni e servizi.
Finanziare Flatpak non significa quindi soltanto aiutare gli utenti che installano programmi attraverso Flathub. Significa investire in una componente che può contribuire alla costruzione di desktop GNU/Linux più sicuri e, soprattutto, meno dipendenti dalle piattaforme proprietarie.
Ed è qui che la notizia supera il valore dei 508.640 euro stanziati.
La sovranità digitale non si costruisce semplicemente sostituendo un prodotto proprietario con uno libero. Richiede che le infrastrutture libere possano essere sviluppate, mantenute e finanziate nel tempo.
Il Software Libero offre il codice e le libertà necessarie per farlo. Ma perché quelle libertà diventino una vera alternativa tecnologica servono anche competenze, organizzazione e risorse economiche.
L'investimento pubblico in Flatpak mostra una delle strade possibili.