Разработчиците на дистрибуцията openSUSE съобщиха за успехите на проекта за осигуряване на поддръжка на повторяеми сборки. В рамките на проекта е подготвен концептуален форк на дистрибуцията Reproducible-openSUSE (RBOS), за който е постигната възможност за изграждане на 100% идентични бинарни пакети на основата на предлагания репозитори с изходни текстове, наброяващ 3300 пакета. В процеса на работа по проекта са подготвени около 40 пача (1, 2, 3), решаващи проблеми с повторяемата предсборка на пакети. Приблизително половината от тези пачове вече са предадени в upstream проектите. Сборките Reproducible-openSUSE в момента са предназначени само за тестване и не се препоръчват за употреба в работни системи, тъй като за тях не се генерират актуализации с отстраняване на уязвимости.
Проектът позволява на потребителя да създаде собствени сборки, битово съвпадащи с предлаганите за изтегляне готови сборки, за да се увери, че разпространяваните в пакетите бинарни файлове са изградени от предоставените изходни текстове и не съдържат скрити изменения. Възможността да се провери идентичността на бинарната сборка дава възможност да не се разчита единствено на доверието към инфраструктурата за изграждане на дистрибуцията, компрометирането на компилатора или инструментариума за изграждане, което може да доведе до вмъкване на скрити заложки.
При формироването на повторяеми сборки се вземат предвид такива нюанси, като точното съответствие на зависимостите, използването на неизменяем състав и версии на инструментариума за изграждане, идентичен набор от опции и настройки по подразбиране, запазване на реда на сглобяване на файловете (прилагане на същите методи за сортиране), деактивиране на добавянето от компилятора на непостоянна служебна информация, такава като случайни стойности, линкове към файлови пътища и данни за дата и час на сборката. На възпроизводимостта на сборките също влияят грешки и състезателни състояния в инструментариума.
Източник: opennet.ru
