Die Entwickler des openSUSE-Projekts haben die Unterstützung für reproduzierbare Builds im Repository openSUSE Factory angekündigt, das das Modell der kontinuierlichen Versionsaktualisierung (Rolling-Updates) verwendet und die Grundlage für die Distribution openSUSE Tumbleweed bildet. Die Build-Konfiguration von openSUSE Factory ermöglicht es nun sicherzustellen, dass die in Paketen verbreiteten Binärdateien aus den bereitgestellten Quelltexten erstellt wurden und keine versteckten Änderungen enthalten. So kann jeder Benutzer persönlich überprüfen, dass die angebotenen Builds bitgenau mit den Builds übereinstimmen, die persönlich aus den Quelltexten erstellt wurden.
Bei der Erstellung wiederholbarer Builds werden Aspekte wie die genaue Übereinstimmung der Abhängigkeiten, die Verwendung unveränderter Komponenten und Versionen der Build-Tools, ein identischer Satz von Optionen und Standardeinstellungen, die Beibehaltung der Reihenfolge der Dateisammlung (Anwendung der gleichen Sortiermethoden) sowie die Deaktivierung der vom Compiler hinzugefügten nicht konstanten Metainformationen, wie zufällige Werte, Dateipfade und Informationen zum Datum und zur Uhrzeit des Builds, berücksichtigt.
Die Möglichkeit, die Identität von Binär-Assemblierungen zu überprüfen, ermöglicht es, sich nicht nur auf das Vertrauen in die Build-Infrastruktur zu verlassen. Die Kompromittierung des Compilers oder der Build-Tools kann zur Einspeisung versteckter Backdoors führen. Beispielsweise verwendeten die Entwickler von openSUSE wiederholte Builds, um schädliche Modifikationen auszuschließen, die im Repository durch einen Vorfall beim Hinzufügen eines Backdoors zu dem Paket xz (die kompromittierte Bibliothek liblzma, die zum Entpacken des Archivs mit dem GCC-Code verwendet wurde, hätte potenziell Änderungen in den GCC-Code einfügen können, die verwendet werden könnten, um bösartige Elemente in die gebauten Anwendungen einzufügen).
Das Repository Factory ist nicht für Endbenutzer gedacht und wird hauptsächlich von den Entwicklern des Distributions verwendet, da die Stabilität zu jedem Zeitpunkt nicht garantiert werden kann. Die in Factory hinzugefügten Systempakete durchlaufen automatisierte Tests mithilfe des OpenQA-Toolsets. Nach Abschluss der Tests und Überprüfung des konsistenten Zustands der Abhängigkeiten wird mehrmals pro Woche der Inhalt des Repositories auf Spiegelserver zurückgesetzt, und der erstellte Zustand wird als openSUSE Tumbleweed veröffentlicht.
Quelle: opennet.ru
