https://ghostty.org/docs/install/binary#linux-(official)  

Ghostty on Fedora：サードパーティリポジトリの安全性解説

このドキュメントは、新しいターミナルエミュレータ「Ghostty」をFedoraにインストールする際の安全性について説明していますね。日本のLinuxユーザーにとっても参考になる内容なので、業界話を交えながら解説します。

Ghosttyって何？

まず前提として、Ghosttyは比較的新しいターミナルエミュレータで、高速でモダンな設計が特徴です。ただし、まだFedoraの公式リポジトリには入っていないんです。これが今回の話の核心部分で、「公式じゃないところからソフトを入れるのは安全なの?」という疑問につながります。

2つのインストール方法

1. COPR方式（scottames/ghostty）

COPRは「Community Projects Repository」の略で、Fedoraが公式に提供しているコミュニティパッケージのプラットフォームです。これ、実は結構面白いシステムで：

• Fedoraの基盤上で動作：ビルドログやソースコードが全部公開されている
• 準公式的な位置づけ：完全な野良リポジトリよりは信頼性が高い
• ただし審査は甘め：公式リポジトリほど厳格なチェックはない

業界的には、DebianのPPAやArchのAURに近い存在ですね。日本だとあまり知られていませんが、Fedoraユーザーの間では日常的に使われています。

Scott Amesさんが管理しているこのリポジトリは、Ghosttyの公式ドキュメントでも推奨されているため、比較的信頼できると評価されています。

2. Terra方式

Terraは「Fyra Labs」という団体が運営するローリングリリース型のリポジトリです。ここが面白いのは：

• 1,900以上のパッケージを提供（公式Fedoraにないものばかり）
• Ultramarine Linux（Fedora派生ディストリビューション）のメーカーが運営
• RPM Fusion（有名なサードパーティリポ）と似た立ち位置

ただし、--nogpgcheckフラグを使う点が少し気になりますね。これはGPG署名の検証をスキップするという意味で、セキュリティ的にはグレーゾーンです。

リスクと業界の実情

サードパーティリポジトリのリスク

ドキュメントが指摘している通り：

1. マルウェアや脆弱性：メンテナーのアカウントが乗っ取られたら終わり
2. パッケージの衝突：公式パッケージと競合して不安定になる可能性
3. 長期サポートの欠如：メンテナーが飽きて放置されるかも

これ、実は業界あるあるで、特に小規模プロジェクトだと「メンテナーが就職/転職して更新停止」というパターンが頻発します。

日本のLinux事情との比較

日本だと、こういうサードパーティリポジトリの利用に慎重な人が多い印象です。企業環境だと特に「公式以外は使うな」という方針のところも多いですよね。一方、欧米のLinuxコミュニティは割と「自己責任で使えばいいじゃん」というノリが強い。

推奨される対策

ドキュメントが提案している安全策：

1. ソースからビルド：一番安全だけど手間がかかる（Fedoraならgtk4-devel、zigなどが必要）
2. Snap版を使う：コンテナ化されているので隔離されている
3. インストール後にリポジトリを無効化：dnf copr disableで切断
4. 定期的にdnf check実行：衝突がないかチェック

個人的には、個人利用なら両方とも「まあ大丈夫」なレベルだと思います。ただし企業環境や機密情報を扱うマシンでは、ソースビルドかSnap（または公式リポジトリ入りを待つ）が無難でしょう。

雑学：なぜ公式リポジトリに入らないのか

これ、実はLinux業界の永遠の課題なんです。Fedoraの公式リポジトリに入るには：

• ライセンスの確認（Fedoraは自由ソフトウェアに厳格）
• パッケージングガイドラインへの準拠
• メンテナーの確保
• セキュリティレビュー

この全プロセスに数ヶ月〜数年かかることもあります。新しいプロジェクトだと、「使いたい人はもう待てない」となってCOPRなどが先に登場するわけです。

ちなみに、ドキュメントでは「Ghosttyの公式パッケージ化作業は進行中」と書かれているので、いずれ公式リポジトリに入る可能性が高そうですね。

---

結論：個人利用で「新しいツールを試したい」という程度なら、両方とも許容範囲内のリスクです。ただし、インストール後はリポジトリを無効化しておくのがベストプラクティスでしょう。

FedoraでのGhosttyインストール：安全性についての解説

提供されたリポジトリからGhosttyをインストールすることは、サードパーティーのソースを利用することを意味し、公式のFedoraパッケージと比較すると常にある程度のリスクが伴います。しかし、どちらの方法も公式Ghosttyドキュメントでコミュニティ保守のインストール方法として紹介されているため、無作為な未知のリポジトリではありません。各方法の安全性について、リポジトリの仕組みとコミュニティのフィードバックに基づいて解説します。

Fedoraにおけるサードパーティーリポジトリの一般的なリスク

Fedoraの公式リポジトリは、セキュリティ、安定性、ライセンスに関して厳格に審査されています。COPRやTerraのようなサードパーティーリポジトリは、Fedoraの監査対象ではありません。

潜在的な問題:

• マルウェアや脆弱性: メンテナーが侵害されたり、悪意のあるコードを導入した場合、システムに影響を与える可能性があります。

• パッケージの競合: 公式Fedoraパッケージを上書きしたり競合したりして、アップデート時に不安定性を引き起こす可能性があります。

• 長期的サポートの欠如: メンテナーがリポジトリを放棄し、パッケージが古いままになる可能性があります。

COPRリポジトリ（Fedoraのコミュニティプロジェクトリポジトリシステム）はFedoraインフラ上に構築されており、ある程度の透明性と自動チェックがありますが、依然としてユーザー保守です。Terraのような外部リポジトリは、メンテナー自身のセキュリティプラクティスに依存します。

とはいえ、多くのFedoraユーザーは、メンテナーに信頼性がある限り、公式チャンネルにないソフトウェアのためにCOPRなどを安全に使用しています。リポジトリの詳細（dnf repoinfo経由など）を確認し、インストール時のみ一時的に有効にすることを検討してください。

---

COPR方式の安全性（scottames/ghostty）

sh

dnf copr enable scottames/ghostty
dnf install ghostty

これはGhostty専用のCOPRリポジトリで、Scott Amesによって保守されています。Ghostty公式インストールドキュメントで明示的に推奨されており、Ghostty開発者がこのリポジトリを信頼していることを示しています。

コミュニティのフィードバック:

• ディスカッションやビルドで深刻なセキュリティインシデントは報告されていません。

• 一部のユーザーが軽微なパッケージングの問題（デスクトップファイルの欠落など）を指摘しましたが、修正済みです。

• 依存関係の競合などの問題があったpgdev/ghosttyなどの他のCOPRよりも推奨されています。

評価: サードパーティーリポジトリとしては比較的安全です。特にプロジェクトに関連付けられており、COPRビルドは監査可能です（ソースコードとビルドログはcopr.fedorainfracloud.orgで公開されています）。注意したい場合は、Ghosttyインストール後にdnf copr disable scottames/ghosttyでリポジトリを無効にし、継続的なアップデートを回避できます。

---

Terra方式の安全性

sh

dnf install --nogpgcheck --repofrompath 'terra,https://repos.fyralabs.com/terra$releasever' terra-release
dnf install ghostty

Terraは、Fyra Labs（Fedora派生のUltramarine Linuxの製作者）によるコミュニティ主導のローリングリリースリポジトリです。公式Fedoraリポジトリにない1,900以上のパッケージを提供し、ソフトウェアの新しいバージョンも含まれます。Ghosttyもその1つで、この方法も公式Ghosttyドキュメントに記載されています。

主な懸念点と緩和策:

• --nogpgcheckフラグは、最初のterra-releaseパッケージの署名検証をスキップします。これはGPGキーがまだ利用できないためです（キーはFyra Labsサーバーからの直接URLでインストールされます）。Terraの説明によれば「信頼された発信元」からのものであるため安全とされていますが、この手順を「怪しい」と感じるユーザーもいます。後続のパッケージは適切なGPGチェックを使用します。

• Terraは透明性のあるビルド、レビュー、安全な環境を通じたセキュリティを重視しています。RPM Fusionなどのリポジトリと共存するよう設計されていますが、一部のサブリポジトリ（Mesa用など）は有効にすると競合を引き起こす可能性があります。

• コミュニティの見解: 不足しているパッケージを提供することに対して概ね肯定的で、広範な侵害報告はありません。RPM Fusionに似ているが、よりローリングリリース志向と見なされています。軽い使用ではアップグレードもスムーズですが、Terraに大きく依存するとFedoraのバージョンアップグレードが複雑になる可能性があります。

評価: 既知のグループ（Fyra Labs）によるバックアップと公式Ghosttyの承認があるため、ほとんどのユーザーにとって十分安全です。ただし、最初のno-GPG手順は軽微な危険信号です。心配な場合は、サイトから手動でterra-release RPMをダウンロードして検証することも検討してください。COPR同様、インストール後にリポジトリを削除できます。

---

推奨事項

安全性を最優先する場合: 代わりにソースからGhosttyをビルドしてください。Fedoraでは簡単です（gtk4-devel、zigなどの依存関係が必要）し、サードパーティーリポジトリを完全に回避できます。あるいは、Snapパッケージを使用する方法もあります。コンテナ化されており分離が容易です：

sh

sudo dnf install snapd
sudo ln -s /var/lib/snapd/snap /snap  # 必要に応じて
sudo snap install ghostty --classic

Ghosttyはまだ公式Fedoraリポジトリには含まれていませんが、パッケージ化の取り組みは進行中です。

ベストプラクティス: インストール後にdnf checkを実行して競合を確認し、システムを最新に保ち、セキュリティ勧告を監視してください。企業や高セキュリティ環境では、Ghostty自体が（リポジトリとは無関係に）一部のケースで「昇格した権限」を指摘されていることに注意してください。

総括: どちらの方法も、コミュニティで検証されプロジェクトに承認されているため、個人利用では合理的に安全です。問題が発生した場合は、Redditのr/FedoraやFedora Discussionなどのフォーラムでアドバイスを得ることができます。