Das Team, das für die Erstellung von Debian-Releases verantwortlich ist, hat angekündigt, dass die Möglichkeit zur reproduzierbaren Neubau von Paketen eine Pflichtfunktion wird. Gestern wurden Änderungen an der Build-System vorgenommen, die den Transfer neuer Pakete ins Repository blockieren, wenn diese keine reproduzierbare Erstellung unterstützen. Im Testing-Repository ist zudem das Update bestehender Pakete untersagt, bei denen Regressionsprobleme in Bezug auf die reproduzierbare Erstellung festgestellt wurden.
In Debian 13, das 36.427 Quellpakete umfasst, liegt die Unterstützung für reproduzierbare Builds bei 96,9 % für die Architektur x86_64 und 96,8 % für die Architektur ARM64. Im Debian Testing-Repository wird der Anteil der reproduzierbaren Builds mit 94,5 % für ARM64 und 75,7 % für x86_64 bei der Neubau von 37.809 Quellpaketen bewertet. Der Test für reproduzierbare Builds im Debian Testing-Repository ist für 1.141 Pakete (3 %) fehlgeschlagen, und bei 7.952 Paketen (21 %) gab es allgemeine Komplikationen beim Kompilieren aus dem Quellcode.
Wiederholbare Builds ermöglichen es dem Nutzer, eigene Builds zu erstellen, die bitgenau mit den zum Download angebotenen vorgefertigten Builds übereinstimmen. Der Nutzer kann persönlich überprüfen, dass die in Paketen und Abbildungen enthaltenen Binärdateien aus den bereitgestellten Quelltexten erstellt wurden und keine versteckten Änderungen enthalten. Die Überprüfung der Identität der Binärbuilds ermöglicht es, sich nicht nur auf das Vertrauen in die Build-Infrastruktur des Distributions zu verlassen; eine Kompromittierung des Compilers oder der Build-Tools könnte zur Einschleusung versteckter Hintertüren führen.
Bei der Erstellung reproduzierbarer Builds müssen Aspekte wie die genaue Übereinstimmung der Abhängigkeiten, die Verwendung unveränderlicher Komponenten und Versionen des Build-Tools, ein identisches Set an Standardoptionen und -einstellungen sowie die Beibehaltung der Sortierreihenfolge der Dateien (Verwendung derselben Sortiermethoden) berücksichtigt werden. Außerdem sollte das Hinzufügen von nicht konstanten Metainformationen durch den Compiler, wie zufällige Werte, Verweise auf Dateipfade und Daten zu Datum und Uhrzeit des Builds, verhindert werden. Auch Fehler und Race Conditions im Build-Tool können die Reproduzierbarkeit von Builds beeinflussen.
Quelle: opennet.ru
