rebuilderd ist für die unabhängige Verifizierung von Arch Linux mit wiederholbaren Builds verfügbar.

Präsentiert ein Toolset rebuilderd, das eine unabhängige Überprüfung von Binärpaketen der Distribution durch den Betrieb eines kontinuierlich laufenden Build-Prozesses ermöglicht, der heruntergeladene Pakete mit denen vergleicht, die auf dem lokalen System durch eine Neubau erstellt wurden. Das Tool ist in Rust geschrieben und unter der GPLv3-Lizenz lizenziert.

Derzeit bietet rebuilderd nur experimentelle Unterstützung zur Verifizierung von Paketen aus Arch Linux, jedoch wird in naher Zukunft auch Unterstützung für Debian versprochen. Um rebuilderd im einfachsten Fall zu starten, lässt sich müssen Sie das Paket rebuilderd aus dem Standard-Repository installieren, den GPG-Schlüssel zur Überprüfung der Umgebung importieren und den entsprechenden Systemdienst aktivieren. Es ist möglich, ein Netzwerk aus mehreren Instanzen von rebuilderd zu implementieren.

Der Dienst überwacht den Status des Paketindexes und startet automatisch den Neuaufbau neuer Pakete in einer Referenzumgebung, deren Zustand mit den Einstellungen der Haupt-Bau-Umgebung von Arch Linux synchronisiert ist. Bei der Neubau-Operation werden Aspekte wie die genaue Übereinstimmung der Abhängigkeiten, die Verwendung einer konsistenten Zusammensetzung und Versionen der Build-Werkzeuge, derselbe Satz von Optionen und Standardeinstellungen sowie die Beibehaltung der Reihenfolge beim Bau von Dateien (Anwendung derselben Sortiermethoden) berücksichtigt. Die Einstellungen des Build-Prozesses schließen hinzugefügte nicht-konstante Verwaltungsinformationen vom Compiler aus, wie z.B. zufällige Werte, Links zu Dateipfaden und Informationen über Datum und Uhrzeit des Builds.

Derzeit sind wiederholbare Builds sichergestellt für 84,1 % der Pakete im Core-Repository von Arch Linux, 83,8 % im Extras-Repository und 76,9 % im Community-Repository. Zum Vergleich beträgt dieser Wert in Debian 10 nur 0,14 Mbit/s. 94,1 %. Wiederholbare Builds sind ein wichtiger Bestandteil der Sicherheit, da sie es jedem Benutzer ermöglichen, sicherzustellen, dass die vom Distribution angebotenen Pakete bytegenau mit den Builds übereinstimmen, die persönlich aus dem Quellcode erstellt wurden. Ohne die Möglichkeit, die Identität des binären Builds zu überprüfen, bleibt dem Benutzer nichts anderes übrig, als blind der Build-Infrastruktur anderer zu vertrauen, deren Kompromittierung des Compilers oder des Build-Tools zur Einschleusung versteckter Hintertüren führen kann.

Quelle: opennet.ru