rebuilderd наличен за независима проверка на Arch Linux с повтарящи се компилации

Изпратено от инструменти възстановен, което ви позволява да организирате независима проверка на двоични пакети на дистрибуцията чрез внедряване на непрекъснат процес на сглобяване, който проверява изтеглените пакети с пакети, получени в резултат на повторно изграждане на локалната система. Инструментариумът е написан на Rust и се разпространява под лиценз GPLv3.

Понастоящем в rebuilderd е налична само експериментална поддръжка за проверка на пакети от Arch Linux, но те обещават скоро да добавят поддръжка за Debian. В най-простия случай, за да стартирате rebuilderd достатъчно инсталирайте пакета rebuilderd от стандартното хранилище, импортирайте GPG ключа, за да проверите средата и да активирате съответната системна услуга. Възможно е да се разположи мрежа от няколко екземпляра на rebuilderd.

Услугата следи състоянието на индекса на пакета и автоматично започва да изгражда нови пакети в референтната среда, чието състояние се синхронизира с настройките на основната среда за изграждане на Arch Linux. При повторно изграждане се вземат предвид такива нюанси като точно съвпадение на зависимостите, използване на същия състав и версии на инструменти за сглобяване, идентичен набор от опции и настройки по подразбиране и запазване на реда на сглобяване на файла (използване на същите методи за сортиране) . Настройките на процеса на изграждане не позволяват на компилатора да добавя непостоянна служебна информация, като например случайни стойности, връзки към пътеки на файлове и информация за дата и час на компилация.

Понастоящем повтарящи се компилации предоставени за 84.1% от пакетите от основното хранилище на Arch Linux, 83.8% от хранилището на екстрите и 76.9% от хранилището на общността. За сравнение в Debian 10 тази цифра е 94.1%. Повтарящите се компилации са важен елемент на сигурността, тъй като те дават на всеки потребител възможността да се увери, че пакетните компилации байт по байт, предлагани от дистрибуцията, съответстват на асемблите, компилирани лично от изходния код. Без възможността да провери самоличността на двоичен сбор, потребителят може само сляпо да се довери на нечия друга асемблираща инфраструктура, където компрометирането на компилатора или инструментите за асемблиране може да доведе до подмяна на скрити отметки.

Източник: opennet.ru