FreeBSD Foundation har annonceret implementeringen af støtte til reproducerbare builds, hvilket gør det muligt at sikre, at de distribuerede binære filer er samlet fra den tilrådighedsstillede kildekode og ikke indeholder skjulte ændringer. Samtidig er der blevet annonceret muligheden for at bygge FreeBSD i ikke-privilegerede miljøer, der ikke kræver root-rettigheder. Fjernelse af komponenter, der udføres under bygningen med root-rettigheder, vil øge sikkerheden i infrastrukturen til at danne FreeBSD-releaser, reducere angrebsoverfladen på bygningens miljø og forenkle organiseringen af automatiserede builds.
Under byggestadiet var root-rettigheder nødvendige for at oprette enheds- filer, indstille adgangsrettigheder og montere yderligere filsystemer (f.eks. ved oprettelse af diskbilleder). Ændringer for at erstatte sådanne handlinger med operationer, der ikke kræver root-rettigheder, er blevet tilføjet til den eksperimentelle gren af FreeBSD, men vil senere blive overført til den gren, som FreeBSD 15.0-releasen er baseret på. Udover at bygge relase fra kildekoden kan der nu også uden root-rettigheder oprettes artefakter såsom ISO-billeder til at skabe installations- og bootbare flash-drev, systembilleder til virtual machines og cloud-platforme.
Hvad angår reproducerbare builds, tillader de at opnå identitet mellem de binære filer, der dannes fra kildekoden i forskellige bygningernes miljøer. Enhver, der ønsker det, kan nu personlig bekræfte, at de distribuerede binære filer er samlet fra de tilrådighedsstillede kildekoder, uden at være udelukkende afhængig af tillid til projektets bygningens infrastruktur, da kompromittering af compilatoren eller byggeværktøjet kan føre til indsættelse af skjulte bagdøre.
Ved dannelsen af reproducerbare builds tages der højde for nuancer som præcist match af afhængigheder; brug af uforandrede sammensætninger og versioner af byggesystemet; identisk sæt af standardindstillinger og konfigurationer; bevarelse af rækkefølgen af filbygning (anvendelse af de samme sorteringsmetoder); deaktivering af tilføjelse af ikke-permanente serviceoplysninger af compileren, såsom tilfældige værdier, henvisninger til filstier og oplysninger om dato og tid for bygningen. Fejl og kappekonkurrencer i værktøjet påvirker også reproducerbarheden af builds.
Kilde: opennet.ru
