Udviklerne af openSUSE-projektet har annonceret, at der er blevet sikret støtte til reproducerbare builds i openSUSE Factory-repositoriet, som anvender en model for kontinuerlig opdatering af programversioner (rolling-updates) og fungerer som grundlag for opbygningen af openSUSE Tumbleweed-distributionen. Byggekonfigurationen af openSUSE Factory giver nu mulighed for at sikre, at de binære filer, der distribueres i pakkerne, er bygget af de tilgængelige kildekoder og ikke indeholder skjulte ændringer. For eksempel kan enhver bruger personligt kontrollere, at de tilbudte builds bit-for-bit stemmer overens med de builds, der er bygget direkte fra kildekoderne.
Når reproducerbare builds dannes, tages der hensyn til detaljer som præcise afhængighedsrelationer, brugen af en uændret sammensætning og versioner af bygge-værktøjer, identisk sæt af muligheder og indstillinger som standard, bevarelsen af filernes byggeorden (anvendelse af de samme sorteringsmetoder), deaktivering af tilføjelse af uforudsigelig hjælpeinformation af compileren, såsom tilfældige værdier, referencer til filstier og oplysninger om dato og tidspunkt for bygningen.
Muligheden for at verificere identiteten af den binære build gør det muligt ikke kun at stole på byggeinfrastrukturen, hvis kompilatoren eller bygge-værktøjerne er kompromitteret, hvilket kan føre til indførsel af skjulte bagdører. For eksempel har reproducerbare builds været brugt af openSUSE-udviklerne til at udelukke ondsindede modifikationer, der kunne være opstået i repositoriet som følge af en hændelse, hvor en bagdør blev tilføjet til xz-pakken (den kompromitterede liblzma-bibliotek, der blev brugt til at pakke koden for GCC, kunne potentielt have indført ændringer i GCC-koden, som kunne anvendes til at indsætte ondsindede elementer i de genererede applikationer).
Repository Factory er ikke beregnet til slutbrugere og anvendes primært af distributionsudviklere, da der ikke garanteres stabilitet på ethvert tidspunkt. Systempakker, der tilføjes til Factory, gennemgår automatiseret testning ved hjælp af openQA-værktøjet. Efter afslutning af testningen og kontrol af konsistensen af afhængigheder, nulstilles indholdet af repoet til spejle flere gange om ugen, og den dannede tilstand offentliggøres som openSUSE Tumbleweed.
Kilde: opennet.ru
