Vývojáři distribuce openSUSE oznámili úspěchy projektu zaměřeného na zajištění podpory opakovatelných sestavení. V rámci projektu byl připraven koncepční fork distribuce Reproducible-openSUSE (RBOS), pro který byla dosažena možnost sestavit 100% identické binární balíčky na základě nabízeného repozitáře se zdrojovými kódy, zahrnujícího 3300 balíčků. V průběhu práce na projektu bylo připraveno přibližně 40 patchů (1, 2, 3), které řeší problémy s opakovaným přebudováním balíčků. Přibližně polovina z těchto patchů již byla předána do upstream projektů. Sestavení Reproducible-openSUSE jsou zatím určena pouze pro testování a nedoporučuje se používat je v pracovních systémech, protože pro ně nejsou vytvářena žádná aktualizace na odstranění zranitelností.
Projekt umožňuje uživateli vytvořit vlastní sestavení, bitově shodující se s nabízenými pro stažení hotovými sestaveními, aby se ujistil, že distribuované binární soubory v balíčcích jsou sestaveny ze poskytovaných zdrojových kódů a neobsahují skryté změny. Možnost ověřit identitu binárního sestavení dává uživatelům možnost nespoléhat se pouze na důvěru k sestavovací infrastruktuře distribuce, jejíž kompromitace kompilátoru nebo sestavovacího nástroje může vést k vložení skrytých vektorů.
Při tvorbě opakovatelných sestavení se zohledňují takové nuance, jako je přesné dodržování závislostí, použití neměnného složení a verzí sestavovacích nástrojů, identická sada možností a nastavení podle výchozích hodnot, zachování pořadí sestavování souborů (použití stejných metod třídění), vypnutí přidávání nepstabilních informačních prvků kompilátorem, jako jsou náhodné hodnoty, odkazy na cesty souborů a údaje o datu a času sestavení. Na reprodukovatelnost sestavení také mají vliv chyby a stavy závodění v nástrojích.
Zdroj: opennet.ru
