FreeBSD вече поддържа възпроизводими компилации и компилации без root права.

Фондация FreeBSD обяви поддръжка за възпроизводими компилации, което гарантира, че разпределените двоични файлове се изграждат от предоставения изходен код и не съдържат скрити модификации. Те също така обявиха възможността за изграждане на FreeBSD в непривилегировани среди, които не изискват root права. Премахването на компоненти, които се изпълняват като root по време на компилацията, ще подобри сигурността на инфраструктурата на изданията на FreeBSD, ще намали повърхността за атака на средата за компилация и ще опрости автоматизираните компилации.

По време на процеса на изграждане бяха необходими root права за създаване на файлове на устройства, задаване на разрешения и монтиране на допълнителни файлови системи (например при създаване на дискови образи). Промени, които заменят такива действия с операции, които не изискват root права, бяха добавени към експерименталния клон на FreeBSD, но по-късно ще бъдат мигрирани към клона, който формира основата за изданието FreeBSD 15.0. В допълнение към изграждането на изданието от изходния код, бяха създадени артефакти като ISO образи за създаване на инсталационни и стартиращи флаш устройства и системни образи за... виртуални машини и облачни платформи.

Възпроизводимите компилации позволяват генерирането на идентични двоични файлове от изходния код в различни среди за компилация. Всеки вече може лично да провери дали разпределените двоични файлове са компилирани от предоставения изходен код, без да разчита единствено на инфраструктурата за компилация на проекта, където компрометиран компилатор или набор от инструменти за компилация биха могли да доведат до вмъкване на скрити задни врати.

Когато създаваме възпроизводими компилации, ние вземаме предвид нюанси като прецизно съпоставяне на зависимости; използване на последователен набор и версия на инструменти за компилация; идентичен набор от опции и настройки по подразбиране; поддържане на реда на компилация на файловете (използвайки едни и същи методи за сортиране); и деактивиране на добавянето от компилатора на променлива служебна информация, като например случайни стойности, препратки към файлови пътища и данни за дата и час на компилация. Възпроизводимостта на компилацията също е засегната от грешки и условия на състезание в инструментите за компилация.

Източник: opennet.ru