In openSUSE Factory wurde die Unterstützung für reproduzierbare Builds implementiert.

Die Entwickler des Projekts openSUSE haben Unterstützung für reproduzierbare Builds im Repository openSUSE Factory angekündigt, das ein kontinuierliches Versionsaktualisierungsmodell (Rolling-Updates) anwendet und die Basis für die Erstellung der Distribution openSUSE Tumbleweed bildet. Die Build-Konfiguration von openSUSE Factory ermöglicht es nun, sicherzustellen, dass die in den Paketen verteilten binären Dateien aus den zur Verfügung gestellten Quelltexten erstellt wurden und keine geheimen Änderungen enthalten. Zum Beispiel kann jeder Benutzer persönlich überprüfen, dass die angebotenen Builds bitgenau mit den Builds übereinstimmen, die persönlich aus den Quelltexten erstellt wurden.

Bei der Erstellung reproduzierbarer Builds werden Aspekte wie die genaue Übereinstimmung der Abhängigkeiten, die Verwendung eines unveränderten Satzes und der Versionen der Build-Tools, ein identischer Satz von Optionen und Standardeinstellungen sowie die Beibehaltung der Reihenfolge der Dateibauten (Anwendung derselben Sortiermethoden) berücksichtigt. Zudem wird das Hinzufügen von nichtbeständiger Hilfsinformation durch den Compiler, wie zufällige Werte, Verweise auf Dateipfade und Daten zu Datum und Uhrzeit des Builds, deaktiviert.

Die Möglichkeit, die Identität eines binären Builds zu überprüfen, ermöglicht es, sich nicht nur auf das Vertrauen in die Build-Infrastruktur zu verlassen, da eine Kompromittierung des Compilers oder der Build-Tools zu versteckten Hintertüren führen könnte. Zum Beispiel wurden reproduzierbare Builds von den Entwicklern von openSUSE genutzt, um schädliche Modifikationen auszuschließen, die aufgrund eines Vorfalls mit der Hinzufügung einer Hintertür im Paket xz (die kompromittierte Bibliothek liblzma, die zur Entpackung des Archives mit dem GCC-Code verwendet wird, konnte potenziell Änderungen in den GCC-Code einfügen, die zur Einspeisung schädlicher Elemente in die erstellten Anwendungen verwendet werden könnten).

Das Repository Factory ist nicht für Endbenutzer konzipiert und wird hauptsächlich von Verteilungsentwicklern genutzt, da keine Stabilität zu jedem Zeitpunkt gewährleistet ist. Die in Factory hinzugefügten Systempakete durchlaufen automatisierte Tests mit dem Werkzeug openQA. Nach Abschluss der Tests und der Überprüfung eines konsistenten Zustands wird mehrmals pro Woche der Inhalt des Repositories auf Spiegelserver übertragen und ein abgebildeter Zustand veröffentlicht als openSUSE Tumbleweed.

Quelle: opennet.ru