Разработчиците на дистрибуцията openSUSE съобщиха за успехите на проекта за осигуряване на поддръжка на повторяеми сборки. В рамките на проекта е подготвен концептуален форк на дистрибуцията Reproducible-openSUSE (RBOS), за който е постигната възможност за сглобяване на 100% идентични бинарни пакети на базата на предложеното хранилище с изходни текстове, включващо 3300 пакета. По време на работата върху проекта са подготвени около 40 пача (1, 2, 3), решаващи проблеми с повторяемата прегрупировка на пакети. Примерно половината от тези пачове вече са предадени в upstream проектите. Сглобките Reproducible-openSUSE за сега са предназначени само за тестване и не се препоръчват за употреба в работни системи, тъй като за тях не се формулират ъпдейти, отстраняващи уязвимости.
Проектът позволява на потребителя да създаде собствени сглобки, идентични по битове с предложените за изтегляне готови сглобки, за да се увери, че разпространяваните в пакетите бинарни файлове са генерирани от предоставените изходни текстове и не съдържат скрити изменения. Възможността да се провери идентичността на бинарната сборка дава шанс да не се разчита единствено на доверието към инфраструктурата за сглобяване на дистрибуцията, компрометацията на компилатора или инструментите за сглобяване може да доведе до внедряване на скрити залагания.
При формирането на повторяеми сборки се вземат предвид такива нюанси, като точното съответствие на зависимостите, използването на неизменния състав и версии на инструментите за сглобяване, идентичен набор от опции и настройки по подразбиране, запазване на реда на сборка на файловете (използване на същите методи на сортиране), изключване на добавянето на непостоянна служебна информация от компилатора, като случайни стойности, линкове към файлови пътища и данни за дата и време на сглобяване. На възпроизводимостта на сборките също влияят грешки и състезателни състояния в инструментариума.
Източник: opennet.ru
