Arch Linux-distributionen har sikret reproducerbare builds af containerbilleder, hvilket gør det muligt at bekræfte, at de binære filer, der leveres i billedet, er bygget ud fra den tilgængelige kildekode og ikke indeholder skjulte ændringer. Reproducerbare billeder af Arch Linux er tilgængelige på Docker Hub med tagget repro. Enhver, der ønsker det, kan bygge et containerbillede bit-for-bit, som svarer til de færdige billeder, der distribueres af projektet, og bekræfte, at distributionsinfrastrukturen, compileren og byggeværktøjet ikke er kompromitteret.
Ved dannelsen af reproducerbare builds tages der højde for nuancer som præcist match af afhængigheder; brug af uforandrede sammensætninger og versioner af byggesystemet; identisk sæt af standardindstillinger og konfigurationer; bevarelse af rækkefølgen af filbygning (anvendelse af de samme sorteringsmetoder); deaktivering af tilføjelse af ikke-permanente serviceoplysninger af compileren, såsom tilfældige værdier, henvisninger til filstier og oplysninger om dato og tid for bygningen. Fejl og kappekonkurrencer i værktøjet påvirker også reproducerbarheden af builds.
Reproducerbare billeder leveres separat, da nøglerne til pakkehåndtereren pacman ikke er inkluderet i dem for at sikre fuldstændig reproducerbarhed. Ved behov for opdatering eller installation af pakker via pacman kræves det, at kommandoen til genoprettelse af nøglelageret køres ("pacman-key --init && pacman-key --populate archlinux"). For at kontrollere identiteten af sin egen bygning med det billede, der distribueres gennem Docker Hub, kan man sammenligne hashes, der genereres af kommandoen "podman inspect --format '{{.Digest}}' ", eller benytte værktøjet diffoci.
Kilde: opennet.ru
