Die Sovereign Tech Agency (STA) investiert 508.640 Euro in die Weiterentwicklung der Flatpak-Sandbox. Das Geld fließt über einen Zeitraum von zwei Jahren in die Verbesserung der Berechtigungsverwaltung und schließt damit eine kritische Sicherheitslücke, von der alle imagebasierten Betriebssysteme betroffen sind – von SteamOS auf dem Steam Deck über Fedora Silverblue bis hin zu GNOME OS und KDE Linux.
Wenn die Spieluhr das Mikrofon mitbringt: Das Problem der granularen Berechtigungen
Flatpak ist das führende System zur Anwendungsverteilung auf dem Linux-Desktop. Es kapselt Programme in einer Sandbox, die den Zugriff auf das Hostsystem kontrolliert. Doch diese Sandbox hat grobe Maschen. Ein besonders eklatantes Beispiel: Gewährt man einer Anwendung die Berechtigung für die Audioausgabe, erhält sie automatisch auch Zugriff auf das Mikrofon. Eine Musik-App, die lediglich über Lautsprecher abspielen soll, könnte damit theoretisch mithören. Während Android und iOS hier fein zwischen den Berechtigungen „Mikrofon“ und „Lautsprecher“ unterscheiden, fehlt Flatpak diese Differenzierung.
Das Problem zieht sich durch das gesamte Berechtigungsmodell. Erlaubt man einer App den Netzwerkzugriff, kann sie nicht nur ins Internet, sondern auf das gesamte lokale Netzwerk zugreifen. Eine einfache Notiz-App hätte so potenziell Zugriff auf Drucker, Router oder NAS-Systeme im Heimnetz. Für die Verwaltung von VPN-Verbindungen existiert bislang keine standardisierte API. Die Steuerung dieser Zugriffe erfolgt idealerweise über sogenannte Portale – Vermittlungsdienste, die zwischen der Sandbox und dem Hostsystem agieren. Während es Portale für grundlegende Funktionen wie Dateiauswahl oder Kamerazugriff bereits gibt, fehlen sie für die feine Steuerung von Audio, Netzwerk und VPN.
Die öffentliche Hand schließt die Lücken: 508.640 Euro für zwei Jahre
Hier setzt die neue Finanzierung der Sovereign Tech Agency an. Die STA, eine vom deutschen Bundesministerium für Wirtschaft und Klimaschutz über die Agentur für Sprunginnovationen (SPRIND) finanzierte Einrichtung, stellt 508.640 Euro für ein auf zwei Jahre angelegtes Projekt bereit. Durchgeführt wird es vom Modal Collective, einer in Berlin ansässigen Organisation, die bereits an GNOME, postmarketOS und systemd mitwirkt. Technisch verantwortlich sind Sebastian und Adrian, die Organisation liegt bei Kateryna und Cade. Zum Entwicklungsteam gehören unter anderem Philip Withnall und Julian Sparber, die bereits beim GNOME-STF-Projekt 2023/2024 mitwirkten, sowie Dhanuka Warusadura, Zelda Ahmed, Ignacy Kuchciński, Hari Rana, Eva vom Bazaar-Projekt und GNOME-Designer Sam Hewitt.
Drei neue Portale schließen die Sicherheitslücken
Das Projekt konzentriert sich auf die Entwicklung von drei neuen Portalen, die die Sandbox-Funktionalität auf das Niveau mobiler Betriebssysteme heben sollen.
Das Audio-Portal führt statische Socket-Berechtigungen für PipeWire ein. Mittels WirePlumber wird granular festgelegt, ob eine Anwendung nur die Wiedergabe über Lautsprecher steuern darf oder auch Zugriff auf das Mikrofon erhält. Dieses Portal ermöglicht erstmals die präzise Trennung von Ein- und Ausgabe.
Das Netzwerk-Portal isoliert den Netzwerkzugriff einer Anwendung komplett vom Host. Es führt statische Berechtigungen für das gesamte Netz, das lokale Netzwerk und das Internet ein. Eine Applikation kann so auf einen bestimmten Port oder eine IP-Range beschränkt werden, ohne dass sie das gesamte Heimnetz einsehen kann.
Das VPN-Portal orientiert sich an den APIs von Android und iOS. Es erlaubt Drittanbieter-VPN-Apps, aus der Sandbox heraus eine systemweite VPN-Verbindung zu verwalten. Darüber hinaus ist ein Writing Assistance Portal (Rechtschreibhilfe-Portal) geplant. Es ermöglicht Apps in der Sandbox, Wörterbücher zu teilen und Dienste wie Eloquent für die Grammatikkorrektur zu nutzen. Die automatische Passworteingabe, die derzeit über die unsichere NativeMessaging-Schnittstelle läuft, soll durch ein sicheres Portal ersetzt werden.
Die Infrastruktur dahinter: Entitlements und Intents
Neben den neuen Portalen wird die Basisinfrastruktur der Sandbox modernisiert. Das Kernstück ist ein neues System namens Entitlements. Es ersetzt die bisherige undurchsichtige Vergabe von Berechtigungen durch eine standardisierte Deklaration. Entwickler geben in der App-Manifestdatei an, welche statischen Berechtigungen über welches Portal benötigt werden. Diese Angaben werden im Appstream-Katalog hinterlegt und können von Prüfern in der App-Validierung automatisch verifiziert werden. Parallel dazu führt Intents eine Abstraktionsschicht für Dienste ein. Anstatt einer App zu erlauben, einen bestimmten Protokoll-Handler zu öffnen, deklariert sie eine Absicht (Intent). Das System sucht dann automatisch nach einer geeigneten nativen App, um die Aktion auszuführen. So können Deep Links realisiert werden, ohne dass die sandboxierte App einen direkten Befehl an das Hostsystem senden muss.
Eine strategische Kette: GNOME, KDE und jetzt Flatpak
Die Investition ist Teil einer dreistufigen Strategie der Sovereign Tech Agency, die den gesamten Desktop-Stack von der Desktop-Umgebung über die Plattform bis zur App-Verteilung stärkt. Nachdem die STA 2023 1 Million Euro in GNOME und 2026 rund 1,28 Millionen Euro in KDE investierte, schließt die Finanzierung von Flatpak die letzte Lücke in der Sicherheitskette. „Der Desktop ist der Ort, an dem Menschen ihre persönlichen Daten verwalten und auf nahezu alle alltäglichen Dienste zugreifen“, erklärte Fiona Krakenbürger, technische Leiterin der STA, im Rahmen der früheren Investitionen. Diese Logik zieht sich konsequent durch die Förderpolitik: Eine sichere Desktop-Umgebung nützt wenig, wenn die darauf ausgeführten Anwendungen über unsichere Kanäle auf das System zugreifen können.
Die Summe von 508.640 Euro mag im Vergleich zu den Millioneninvestitionen in die Desktop-Umgebungen bescheiden wirken. Ihre Wirkung entfaltet sie jedoch über das gesamte Flatpak-Ökosystem. Systeme wie SteamOS, Fedora Silverblue, GNOME OS, openSUSE Aeon oder KDE Linux – sie alle sind darauf angewiesen, dass die Sandbox, die ihre Anwendungen umgibt, auch wirklich dicht ist. In einer Zeit, in der Europa digitale Souveränität als strategisches Ziel definiert und die Abhängigkeit von den mobilen Plattformen Apples und Googles reduziert werden soll, ist eine fertige, sichere App-Sandbox der entscheidende Faktor. Ohne sie bleibt der Linux-Desktop für den Massenmarkt eine Nische. Mit diesem Projekt wird die Grundlage dafür gelegt, dass alternative Betriebssysteme auf Augenhöhe mit den etablierten Plattformen konkurrieren können. Der Fortschritt des Projekts kann auf den Matrix-Kanälen „Flatpak“ und „XDG Desktop Portals“ verfolgt werden.
