В openSUSE Factory е внедрена поддръжка за повтарящи се компилации

Разработчиците на проекта openSUSE обявиха за осигуряването на поддръжка на повтарящи се сборки в хранилището openSUSE Factory, което прилага модел на непрекъснат цикъл на обновление на версиите на софтуера (rolling-обновления) и служи като основа за изграждането на дистрибуцията openSUSE Tumbleweed. Сборната конфигурация на openSUSE Factory вече позволява да се уверите, че разпространяваните в пакетите бинарни файлове са сглобени от предоставените изходни текстове и не съдържат скрити промени. Например, всеки потребител може лично да провери, че предложените сборки побитово съвпадат със сборките, сглобени лично от изходните текстове.

При формирането на повтарящи се сборки се вземат предвид такива нюанси, като точно съответствие на зависимостите, използване на неизменен състав и версии на сборъчния инструментариум, идентичен набор от опции и настройки по подразбиране, запазване на реда на сборка на файловете (прилагане на същите методи за сортиране), изключване на добавянето на непостоянна служебна информация от компилатора, като случайни стойности, връзки към файлови пътища и данни за дата и време на сборката.

Възможността за проверка на тъждествеността на бинарната сборка позволява да не се разчита само на доверието към сборъчната инфраструктура, компрометирането на компилятора или инструментариума за сборка, в който могат да се поставят скрити задни врати. Например, повтарящите се сборки бяха използвани от разработчиците на openSUSE за изключване на вредоносни модификации, които могат да се появят в хранилището в резултат на инцидент с добавяне на backdoor в пакета xz (компрометирана библиотека liblzma, използвана за разопаковане на архив с кода на GCC, потенциално можеше да въведе в кода на GCC изменения, които могат да се използват за вмъкване на вредоносни елементи в сглобяваните приложения).

Репозиторият Factory не е предназначен за крайни потребители и основно се използва от разработчици на дистрибуции, тъй като стабилността не е гарантирана по всяко време. Добавените в Factory системни пакети преминават автоматизирано тестване с помощта на инструменти от openQA. След завършване на тестването и проверка на съвместимостта на зависимостите, съдържанието на репозитория се обновява на огледалата няколко пъти седмично, а формулираният момент на състояние се публикува като openSUSE Tumbleweed.

Източник: opennet.ru