Одобрено е осигуряването на повтарящи се сборки в Fedora 43

Комитетът FESCo (Fedora Engineering Steering Committee), отговарящ за техническата част на разработката на дистрибуцията Fedora Linux, одобри проект за осигуряване на повторяеми компилации на пакети в есенния вариант на Fedora 43. Целта на инициативата е да се предостави възможност за повторяеми компилации за не по-малко от 99% от пакетите в репозитория.

Повторяемите компилации ще дадат възможност за създаване на собствени RPM-пакети, които съвпадат с предлаганите за изтегляне готови бинарни пакети. Съвпаденията се осигуряват на ниво основни метаданни и включените файлове в пакета (ще се различават само метаданните относно времето на компилация, компилационния хост и цифровото подписване). Потребителят ще може сам да се увери, че разпространяваните в пакетите бинарни файлове са компилирани от предоставените изходни текстове и не съдържат скрити промени. Проверката за идентичност на бинарната компилация позволява да не се разчита само на доверието в инфраструктурата за компилация на дистрибуцията, компрометацията на компилятора или инструмента за компилация, което може да доведе до вмъкване на скрити закладки.

В допълнение към сигурността, повторяемите компилации също ще бъдат полезни за контрол на качеството — проблемите при опитите за постигане на повторяеми компилации често са причинени от грешки или безпорядък в кода, например, използването на пакети, обозначени като „noarch“, зависимости, свързани с определени хардуерни архитектури. Повторяемите компилации също ще опростят разработката на пакети — след малки корекции, преработените пакети ще се различават само по елементите, пряко свързани с направената промяна, което значително ще улесни сравнението на версиите на пакетите и анализа на промените.

При формирането на повторяеми компилации се вземат предвид такива нюанси, като точно съответствие на зависимостите; използване на неизменен състав и версии на инструмента за компилация; идентичен набор от опции и настройки по подразбиране; запазване на реда на компилация на файловете (прилагане на същите методи за сортиране); изключване на добавянето на непостоянна служебна информация от компилятора, такава като произволни стойности, връзки към файлови пътища и данни за дата и час на компилация. Възпроизводимостта на компилациите също се влияе от грешки и състезателни условия в инструмента.

Инфраструктура на проекта Fedora вече е подготвена за осъществяване на повторяеми сборки. Например, в предишните версии в системата за сборка са направени промени, които синхронизират метаданните за времето на модификация на файловете с еталонния изходен код (mtime вече не зависи от времето на сборка), както и осигуряват постоянен ред на изброяване на метаданните и структурите в бинарните файлове. На този етап обхватът на повторяемите сборки се оценява на 90%. За осигуряване на повторяеми сборки в оставащите 10% е необходимо участие на мейнтейнъри на проблемни пакети. За да се стимулира внесенето на корекции в подобни пакети, сбъркванията при осъществяване на повторяеми сборки ще се трактоват като грешки при сборката.

Подобни проекти за осигуряване на поддръжка за повторяеми сборки също развиват дистрибуциите Debian, Arch Linux, openSUSE и NixOS.

Източник: opennet.ru