Der Sovereign-Fonds hat 562.000 Euro in die Modernisierung des Paketmanagements von Arch Linux investiert.

Die Entwickler der Arch Linux-Distribution haben bekannt gegeben, dass sie eine Investition in Höhe von 562.000 Euro vom STF (Sovereign Tech Fund) erhalten haben, einem in Deutschland gegründeten Fonds zur Förderung der Entwicklung offener digitaler Infrastrukturen und Ökosysteme mit Open-Source-Software. Der Fonds wurde mit Mitteln ausgestattet, die vom Bundesministerium für Wirtschaft und Klimaschutz Deutschlands bereitgestellt wurden, und wird vom Bundesamt für disruptive Innovationen SPRIND überwacht. Die Mittel werden verwendet, um die Modernisierung des ALPM (Arch Linux Package Management)-Tools voranzutreiben, das Spezifikationen, Tools und Bibliotheken entwickelt, um Aufgaben wie die Erstellung und Nutzung von Paketen sowie die Verwaltung von Repositories zu bewältigen.

Im Rahmen des Projekts wurde versucht, die Schnittstellen zur Verwaltung von Paketen zu strukturieren und Werkzeuge sowie Bindungen zu bieten, die in der Programmiersprache Rust geschrieben sind. Die durch das Projekt entwickelten Spezifikationen und Werkzeuge basieren auf der Funktionalität von Pacman. Der Wechsel zur Sprache Rust nach der Verwendung von C in Pacman erklärt sich durch die Verringerung der Wahrscheinlichkeit von Fehlern im Umgang mit Speicher. Als Ziel der Initiative wird die Integration in ALPM zur Unterstützung aller Möglichkeiten zur Verwaltung von Repositories sowie zur Erstellung, Überprüfung und Installation von Paketen genannt, sowie die Bereitstellung von Funktionen, die in der Lage sind, einige Möglichkeiten des Paketmanagers Pacman zu ersetzen.

Die bereitgestellten Mittel werden verwendet, um die Arbeit von 4 Entwicklern an dem ALPM-Projekt für 15 Monate in Teilzeit zu finanzieren. Die Arbeit begann im Oktober und wird bis Ende 2025 dauern. Zu den Aufgaben, die im Rahmen dieser Arbeiten angegangen werden sollen, gehören:

• Erstellung formeller Spezifikationen für Datenformate, die in Paketen verwendet werden. Derzeit kommen in Arch Linux-Paketen undokumentierte oder schlecht dokumentierte Dateitypen und Metadaten zum Einsatz. Informationen zur low-level Struktur der Pakete sollen in Form von versionierten Spezifikationen zusammengefasst werden, die alle zulässigen Datei- und Metadatenarten eindeutig regeln.
• Einführung eines vereinfachten Mechanismus zur Verifizierung von Paketartefakten anhand digitaler Signaturen, der auf OpenPGP basiert, jedoch nicht an das veraltete zentrale GnuPG-Schlüsselverzeichnis gebunden ist.
• Bereitstellung einer Rust-Bibliothek zur Erstellung, Verifizierung und Installation einzelner Pakete, die den Anforderungen der formellen Spezifikationen entsprechen, die das zulässige Paketinhalt und die Methoden zu deren Erstellung und Verarbeitung explizit definieren.
• Bereitstellung einer Rust-Bibliothek zur Paketverwaltung im System (Behandlung des Zustands des Paketsets, das den Kern des Systems bildet). Um die Kompatibilität mit älteren Anwendungen, die die libalpm-Bibliothek verwenden (z. B. pacman), sicherzustellen, ist eine C-API-Bindung geplant.
• Vorbereitung der unterstützenden PGPKI (Web of Trust) und einer distributionsunabhängigen OpenPGP-Implementierung zur Verifizierung von Artefakten der Distribution. Anstelle von GnuPG sollen Alternativen in Rust verwendet werden.

Quelle: opennet.ru