Nadace FreeBSD oznámila podporu reprodukovatelných sestavení, která zajišťuje, že distribuované binární soubory jsou sestavovány z poskytnutého zdrojového kódu a neobsahují skryté úpravy. Také oznámila možnost sestavovat FreeBSD v neprivilegovaných prostředích, která nevyžadují root oprávnění. Eliminace komponent, které během sestavení běží pod root oprávněním, zlepší zabezpečení infrastruktury vydaných verzí FreeBSD, sníží plochu pro útok v prostředí sestavení a zjednoduší automatizované sestavení.
Během procesu sestavení byla pro vytváření souborů zařízení, nastavování oprávnění a připojování dalších souborových systémů (například při vytváření obrazů disků) vyžadována oprávnění root. Do experimentální větve FreeBSD byly přidány změny, které nahrazují tyto akce operacemi, jež nevyžadují oprávnění root, ale později budou migrovány do větve, která tvoří základ pro verzi FreeBSD 15.0. Kromě sestavení verze ze zdrojového kódu byly vybrány artefakty, jako jsou ISO obrazy pro vytváření instalačních a bootovacích flash disků a obrazy systému pro... virtuální stroje a cloudové platformy.
Reprodukovatelné sestavení umožňují generování identických binárních souborů ze zdrojového kódu v různých prostředích sestavení. Kdokoli si nyní může osobně ověřit, zda byly distribuované binární soubory sestaveny z poskytnutého zdrojového kódu, aniž by se musel spoléhat pouze na infrastrukturu sestavení projektu, kde by kompromitovaný kompilátor nebo nástroj pro sestavení mohly vést k vložení skrytých zadních vrátek.
Při vytváření reprodukovatelných sestavení zvažujeme takové nuance, jako je přesné porovnávání závislostí; použití konzistentní sady a verze nástrojů pro sestavení; identická sada výchozích možností a nastavení; zachování pořadí sestavení souborů (s použitím stejných metod řazení); a zakázání přidávání nestálých servisních informací kompilátorem, jako jsou náhodné hodnoty, odkazy na cesty k souborům a data a čas sestavení. Reprodukovatelnost sestavení je také ovlivněna chybami a soubojovými podmínkami v nástrojích pro sestavení.
Zdroj: opennet.ru
