Udviklerne af distribueringssystemet openSUSE har rapporteret om fremskridt med projektet for at sikre støtte til reproducerbare builds. I projektet er der forberedt en konceptuel fork af distribueringssystemet Reproducible-openSUSE (RBOS), for hvilket muligheden for at bygge 100% identiske binære pakker er opnået baseret på det foreslåede repository med kildekoder, som indeholder 3300 pakker. Under arbejdet med projektet er der forberedt omkring 40 patches (1, 2, 3), der løser problemer med reproducerbar rekonstruktion af pakker. Cirka halvdelen af disse patches er allerede sendt til upstream-projekter. Builds af Reproducible-openSUSE er i øjeblikket kun beregnet til testning og anbefales ikke til brug i produktionssystemer, da der ikke genereres opdateringer til sårbarhedsløsninger til dem.
Projektet giver brugeren mulighed for at danne egne builds, der bit-for-bit stemmer overens med de tilgængelige for download versioner, for at sikre, at de binære filer, der distribueres i pakkerne, er bygget fra de angivne kildekoder og ikke indeholder skjulte ændringer. Muligheden for at verificere identiteten af den binære build giver mulighed for ikke kun at stole på tillid til distribueringssystemets build-infrastruktur, hvis kompilator eller byggeverktøj kompromitteres, kan det føre til indsættelse af skjulte bagsider.
Når der dannes reproducerbare builds, tages der hensyn til sådanne nuancer som nøjagtig overensstemmelse med afhængigheder, brug af uforanderlig sammensætning og versioner af byggeverktøjer, identisk sæt af indstillinger og standardindstillinger, bevaring af rækkefølgen af filbygning (anvendelse af de samme sorteringsmetoder), deaktivering af tilføjelse af tilfældig informationsværktøjsoplysninger, såsom tilfældige værdier, links til filstier og dato- og tidsoplysninger for build. Fejl og race tilstande i værktøjet påvirker også reproducerbarheden af builds.
Kilde: opennet.ru
