Das Team, das für die Erstellung von Debian-Versionen verantwortlich ist, hat angekündigt, dass die reproduzierbare Neubau von Paketen zu den zwingenden Möglichkeiten gehört. Gestern wurden Änderungen im Build-System vorgenommen, die den Transfer neuer Pakete in das Repository blockieren, wenn diese keine Unterstützung für reproduzierbare Builds bieten. Auch im Testing-Repository ist das Update bestehender Pakete verboten, wenn diese Regressionen in der Reproduzierbarkeit des Builds aufweisen.
In Debian 13, das 36427 Quellpakete umfasst, beträgt die Unterstützung für wiederholbare Builds 96,9% für die Architektur x86_64 und 96,8% für die Architektur ARM64. In den Debian Testing-Repositories wird der Grad an wiederholbaren Builds mit 94,5% für die Architektur ARM64 und 75,7% für x86_64 bei der Neubau von 37809 Quellpaketen bewertet. Der Test für wiederholbare Builds im Debian Testing-Repository wurde für 1141 Pakete (3%) nicht bestanden, und bei 7952 Paketen (21%) traten allgemeine Probleme beim Kompilieren aus dem Quellcode auf.
Wiederholbare Builds bieten dem Benutzer die Möglichkeit, eigene Builds zu erstellen, die bitweise mit den angebotenen vorgefertigten Builds übereinstimmen. Der Benutzer kann sich persönlich davon überzeugen, dass die in den Paketen und Boot-Images verbreiteten Binärdateien aus den bereitgestellten Quelltexten gebaut wurden und keine versteckten Änderungen enthalten. Die Überprüfung der Identität des Binär-Builds ermöglicht es, sich nicht nur auf das Vertrauen in die Build-Infrastruktur der Distribution zu verlassen; eine Kompromittierung des Compilers oder des Build-Toolsets kann zu versteckten Hintertüren führen.
Bei der Erstellung wiederholbarer Builds werden solche Nuancen berücksichtigt, wie die exakte Übereinstimmung der Abhängigkeiten; die Verwendung unveränderter Bestandteile und Versionen des Build-Toolsets; identische Sätze von Optionen und Standardeinstellungen; die Beibehaltung der Reihenfolge des Baus von Dateien (Anwendung derselben Sortiermethoden); die Deaktivierung durch den Compiler hinzugefügter nicht konstanter Metainformationen, wie zufällig generierte Werte, Verweise auf Dateipfade und Daten zum Datum und zur Uhrzeit des Builds. Auf die Reproduzierbarkeit der Builds wirken sich auch Fehler und Race Conditions in den Tools aus.
Quelle: opennet.ru
