В FreeBSD е осигурена поддръжка за възпроизводими сборки и сборки без права root

Организация FreeBSD Foundation обяви реализирането на поддръжка на възпроизведими версии, позволяващи да се уверим, че разпространяваните бинарни файлове са събрани от предоставения изходен код и не съдържат скрити изменения. В същото време е обявена възможността за компилация на FreeBSD в непривилегировани среди, които не изискват наличието на права root. Освобождаването от компоненти, изпълнявани по време на компилацията с права root, ще повиши сигурността на инфраструктурата за генериране на релизи на FreeBSD, ще намали повърхността на атака на компилационната среда и ще улесни организирането на автоматизирани компилации.

На етапа на компилация правата root бяха необходими за създаване на файлове с устройства, задаване на права за достъп и монтиране на допълнителни файлови системи (например, при създаване на образи на дискове). Промените за заместване на подобни действия с операции, не изискващи права root, са добавени в эксперименталната клонка на FreeBSD, но впоследствие ще бъдат прехвърлени и в клона, от който се генерира релизът FreeBSD 15.0. Освен компилация на релиза от изходния код, вече без права root могат да се създадат и такива артефакти, като iso-образи за създаване на инсталационни и бутваеми Flash памети, системни образи за виртуални машини и облачни платформи.

Що се отнася до възпроизведимите версии, те позволяват достигането на идентичност на бинарните файлове, генерирани от изходния код в различни компилационни среди. Всеки желаещ вече може лично да се увери, че разпространяваните бинарни файлове са събрани от предоставените изходни текстове, без да разчита единствено на доверието в компилационната инфраструктура на проекта, компрометирането на компилатора или инструменти за компилация, което може да доведе до подмяна на скрити заложби.

При създаването на възпроизводими компилации се вземат предвид такива детайли, като точно съответствие на зависимостите; използване на неизменен състав и версии на инструменти за компилация; идентичен набор от опции и настройки по подразбиране; запазване на реда на компилация на файловете (прилагане на същите методи за подреждане); деактивиране на добавянето на непостоянна служебна информация от компилатора, като случайни стойности, препратки към файлови пътища и данни за дата и час на компилация. На възпроизводимостта на компилациите също влияят грешки и състояния на състезание в инструментите.

Източник: opennet.ru