Vývojáři projektu openSUSE oznámili zajištění podpory opakovatelných sestavení v repozitáři openSUSE Factory, který používá model kontinuálního cyklu aktualizace verzí softwaru (rolling-updates) a slouží jako základ pro vytváření distribuce openSUSE Tumbleweed. Sestavovací konfigurace openSUSE Factory nyní umožňuje ujistit se, že distribuované v balíčcích binární soubory jsou sestaveny z poskytnutých zdrojových textů a neobsahují skryté změny. Například jakýkoli uživatel může osobně ověřit, že nabízená sestavení bit po bitu odpovídají sestavením, která byla osobně vyrobena ze zdrojových textů.
Při vytváření opakovatelných sestavení se zohledňují takové nuance, jako je přesné dodržování závislostí, použití neměnného složení a verzí sestavovacího nástroje, identický soubor možností a výchozích nastavení, zachování pořadí sestavení souborů (aplikace stejných metod třídění), vypnutí přidávání nestálých podporujících informací kompilátorem, jako jsou náhodné hodnoty, odkazy na cesty a data a časy sestavení.
Možnost zkontrolovat shodu binárního sestavení umožňuje nespoléhat se pouze na důvěru k sestavovací infrastruktuře, jejíž kompromitace kompilátoru nebo sestavovacího nástroje by mohla vést k vložení skrytých zadních vrátek. Například opakovatelná sestavení byla použita vývojáři openSUSE k vyloučení škodlivých modifikací, které mohly vzniknout v repozitáři v důsledku incidentu s přidáním zadního vrátek do balíčku xz (kompromitovaná knihovna liblzma, použitá pro rozbalení archivu s kódem GCC, mohla potenciálně přinést do kódu GCC změny, které mohly být použity k vložení škodlivých prvků do sestavovaných aplikací).
Repozitář Factory není určen pro koncové uživatele a je převážně určen vývojářům distribuce, protože v něm není zaručena stabilita v jakémkoli okamžiku. Přidávané systémové balíky do Factory procházejí automatizovaným testováním pomocí nástroje openQA. Po dokončení testování a kontrole nekonfliktního stavu závislostí je několikrát týdně obsah repozitáře zrcadlen a vytvořený snímek stavu je zveřejněn jako openSUSE Tumbleweed.
Zdroj: opennet.ru
