FreeBSD предоставя поддръжка на възпроизводими компилации и компилации без права root

Организация FreeBSD Foundation обяви за реализиране на поддръжка на възпроизвеждаеми компилации, позволяващи да се уверите, че разпространяваните бинарни файлове са създадени от предоставения изходен код и не съдържат скрити промени. В същото време беше обявено, че е предоставена възможност за компилиране на FreeBSD в непозволени среди, които не изискват права root. Премахването на компоненти, изпълнявани по време на компилация с права root, ще повиши сигурността на инфраструктурата за формиране на рилיזи на FreeBSD, ще намали атакуваемостта на компилационната среда и ще опрости организацията на автоматизирани компилации.

На етапа на компилация правата root бяха необходими за създаване на устройства, задаване на права за достъп и монтиране на допълнителни файлови системи (например, при създаване на дискови образи). Промените за замяна на подобни действия с операции, които не изискват права root, бяха добавени в експерименталната клонка на FreeBSD, но впоследствие ще бъдат прехвърлени и в клона, на който се основава формирането на рилиза FreeBSD 15.0. Освен компиляцията на рилиза от изходния код, без права root вече могат да се създават и артефакти като iso-образи за създаване на инсталационни и зареждащи Flash устройства, системни образи за на виртуални машини и облачни платформи.

Що се отнася до възпроизвеждаемите компилации, те позволяват да се постигне идентичност на бинарните файлове, създавани от изходния код в различни компилационни среди. Всеки желаещ сега може лично да се увери, че разпространяваните бинарни файлове са създадени от предоставените изходни текстове, без да разчита само на доверие към компилационната инфраструктура на проекта, компрометиране на компилатора или инструменти за компилация, което може да доведе до внедряване на скрити закладки.

При формирането на възпроизводими сборки се вземат предвид следните нюанси: точно съвпадение на зависимостите; използване на неизменен състав и версии на инструментариума за сборка; идентичен набор от опции и настройки по подразбиране; запазване на реда на сборка на файловете (прилагане на същите методи за сортиране); деактивиране на добавянето от компилатора на променлива служебна информация, като случайни стойности, връзки към файлови пътища и данни за дата и време на сборка. Възпроизводимостта на сборките също е повлияна от грешки и условия на състезание в инструментариума.

Източник: opennet.ru