В Debian е одобрена задължителната поддръжка на воспроизводими сборки на пакети

Екипът, отговарящ за издаването на Debian, обяви, че въвеждането на повторяеми сборки на пакети става задължително. Вчера в системата за изграждане бяха направени промени, които блокират внасянето на нови пакети в хранилището, които не поддържат повторяеми сборки. В тестовото хранилище също е забранено обновяването на съществуващи пакети, в които са установени регресии относно повторяемостта на сборката.

В Debian 13, който има 36427 изходни пакета, поддръжката на повторяеми сборки е 96.9% за архитектура x86_64 и 96.8% за архитектура ARM64. В хранилищата Debian Testing нивото на повторяеми сборки е оценено на 94.5% за архитектура ARM64 и 75.7% за x86_64 при повторна сборка на 37809 изходни пакета. Тестът за повторяеми сборки в хранилището Debian Testing е неуспешен за 1141 пакета (3%), а за 7952 пакета (21%) са възникнали общи проблеми при компилирането от изходен код.

Повторяемите сборки дават възможност на потребителя да създаде свои собствени сборки, които битово съвпадат с предлаганите за изтегляне готови сборки. Потребителят може лично да се увери, че разпространяваните в пакетите и в образите за зареждане бинарни файлове са събрани от предоставените изходни текстове и не съдържат скрити промени. Проверка за идентичност на бинарната сборка позволява да не разчитате само на доверието към инфраструктурата за сборка на дистрибуцията, компрометирането на компилатора или инструментите за сборка, което може да доведе до подмяна на скрити задни врати.

При формирането на повторяеми компилации се вземат предвид такива нюанси, като точно съответствие на зависимостите; използване на неизменен състав и версии на инструмента за компилация; идентичен набор от опции и настройки по подразбиране; запазване на реда на компилация на файловете (прилагане на същите методи за сортиране); изключване на добавянето на непостоянна служебна информация от компилятора, такава като произволни стойности, връзки към файлови пътища и данни за дата и час на компилация. Възпроизводимостта на компилациите също се влияе от грешки и състезателни условия в инструмента.

Източник: opennet.ru