FESCo (Fedora Engineering Steering Committee), der er ansvarlig for den tekniske del af udviklingen af Fedora Linux-distributionen, har godkendt et projekt til sikring af reproducerbare bygninger af pakker i efterårsudgaven af Fedora 43. Målet med initiativet er at muliggøre anvendelsen af reproducerbare bygninger for mindst 99% af pakkerne i depotet.
Reproducerbare bygninger giver mulighed for at danne egne RPM-pakker, der svarer til de downloadbare binære pakker. Overensstemmelsen sikres på niveau med de grundlæggende metadata og de inkluderede filer i pakken (kun metadata med byggetidspunkt, byggehost og digital signatur vil være forskellige). Brugeren kan selv kontrollere, at de distribuerede binære filer i pakkerne er bygget fra de leverede kildekoder og ikke indeholder skjulte ændringer. Kontrollen af identiteten af den binære bygning gør det muligt ikke kun at stole på tilliden til distributionens bygningsinfrastruktur; kompromittering af compileren eller byggeværktøjerne kan føre til indsættelse af skjulte bagdøre.
Udover sikkerhed vil reproducerbare bygninger også være nyttige til kvalitetskontrol - problemer med at opnå reproducerbare bygninger opstår ofte på grund af fejl eller uorden i koden, f.eks. ved anvendelse af pakker, der er mærket som "noarch", med afhængigheder bundet til specifikke hardware-arkitekturer. Reproducerbare bygninger vil også forenkle udviklingen af pakker - efter små ændringer vil de genopbygget pakker kun adskille sig i de elementer, der er direkte relateret til den foretagne ændring, hvilket betydeligt vil forenkle sammenligning af pakkeversioner og analyse af ændringer.
Når der dannes gentagne builds, tages der højde for faktorer såsom præcis overensstemmelse med afhængigheder; brug af en uændret sammensætning og versioner af build-værktøjer; identisk sæt af muligheder og standardindstillinger; bevaring af rækkefølgen af filopbygninger (anvendelse af de samme sorteringsmetoder); deaktivering af tilføjelsen af usikre oplysninger af compileren, såsom tilfældige værdier, henvisninger til filstier og dato- og tidsoplysninger om build. Fejl og race conditions i værktøjerne påvirker også reproducerbarheden af builds.
Infrastrukturen for Fedora-projektet er allerede klar til at muliggøre gentagne builds. For eksempel er der i tidligere udgivelser foretaget ændringer i build-systemet, der synkroniserer metadata om ændringstidspunkter for filer med reference kildekoden (mtime afhænger nu ikke af build-tidspunktet) samt sikrer en konstant rækkefølge for opregning af metadata og strukturer i binære filer. På nuværende tidspunkt vurderes dækningen af gentagne builds til at være 90 %. For at sikre gentagne builds i de resterende 10 % kræves deltagelse fra maintainere af problematiske pakker. For at motivere reparationer i sådanne pakker er det hensigten at betragte fiaskoer ved gentagne builds som byggefejl.
Lignende projekter til at støtte gentagne builds udvikler også distributioner som Debian, Arch Linux, openSUSE og NixOS.
Kilde: opennet.ru
