{"id":123479,"date":"2025-04-12T15:05:20","date_gmt":"2025-04-12T13:05:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43"},"modified":"2025-04-12T15:05:20","modified_gmt":"2025-04-12T13:05:20","slug":"utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43","title":{"rendered":"Wiederholbare Builds in Fedora 43 genehmigt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der FESCo-Ausschuss (Fedora Engineering Steering Committee), der f\u00fcr den technischen Teil der Entwicklung der Fedora Linux-Distribution verantwortlich ist, hat ein Projekt zur Gew\u00e4hrleistung wiederholbarer Paketerstellungen in der Herbstversion von Fedora 43 genehmigt. Ziel der Initiative ist es, wiederholbare Builds f\u00fcr mindestens 99 % der Pakete im Repository anzubieten. <\/p>\n
Wiederholbare Builds erm\u00f6glichen es, eigene RPM-Pakete zu erstellen, die mit den zum Download verf\u00fcgbaren Bin\u00e4rpaketen \u00fcbereinstimmen. Die \u00dcbereinstimmungen werden auf der Ebene der grundlegenden Metadaten und der in das Paket aufgenommenen Dateien gew\u00e4hrleistet (lediglich die Metadaten bez\u00fcglich der Erstellungszeit, des Erstellungs-Hosts und der digitalen Signatur werden unterschiedlich sein). Benutzer k\u00f6nnen pers\u00f6nlich \u00fcberpr\u00fcfen, dass die in den Paketen verbreiteten Bin\u00e4rdateien aus den bereitgestellten Quelltexten erstellt wurden und keine versteckten \u00c4nderungen enthalten. Die \u00dcberpr\u00fcfung der Identit\u00e4t des Bin\u00e4r-Builds erm\u00f6glicht es, sich nicht nur auf das Vertrauen in die Build-Infrastruktur der Distribution zu verlassen, da eine Kompromittierung des Compilers oder der Build-Tools zu versteckten Hintert\u00fcren f\u00fchren k\u00f6nnte. <\/p>\n
Neben der Sicherheit sind reproduzierbare Builds auch n\u00fctzlich f\u00fcr die Qualit\u00e4tssicherung \u2013 Probleme beim Erreichen reproduzierbarer Builds entstehen h\u00e4ufig durch Fehler oder Unordnung im Code, wie zum Beispiel durch die Verwendung von in als \u201enoarch\u201c gekennzeichneten Paketen, Abh\u00e4ngigkeiten, die an bestimmte Hardwarearchitekturen gebunden sind. Reproduzierbare Builds vereinfachen auch die Paketentwicklung \u2013 nach kleineren \u00c4nderungen werden die neugebauten Pakete sich nur durch Elemente unterscheiden, die direkt mit der vorgenommenen \u00c4nderung verbunden sind, was den Vergleich von Paketversionen und die Analyse von \u00c4nderungen erheblich erleichtert. <\/p>\n
Bei der Erstellung reproduzierbarer Builds m\u00fcssen Aspekte wie die genaue \u00dcbereinstimmung der Abh\u00e4ngigkeiten, die Verwendung unver\u00e4nderlicher Komponenten und Versionen des Build-Tools, ein identisches Set an Standardoptionen und -einstellungen sowie die Beibehaltung der Sortierreihenfolge der Dateien (Verwendung derselben Sortiermethoden) ber\u00fccksichtigt werden. Au\u00dferdem sollte das Hinzuf\u00fcgen von nicht konstanten Metainformationen durch den Compiler, wie zuf\u00e4llige Werte, Verweise auf Dateipfade und Daten zu Datum und Uhrzeit des Builds, verhindert werden. Auch Fehler und Race Conditions im Build-Tool k\u00f6nnen die Reproduzierbarkeit von Builds beeinflussen. <\/p>\n
Die Infrastruktur des Fedora-Projekts ist bereits auf die Umsetzung wiederholbarer Builds vorbereitet. So wurden beispielsweise in fr\u00fcheren Versionen \u00c4nderungen an das Build-System vorgenommen, um die Metadaten \u00fcber die \u00c4nderungszeit der Dateien mit dem Referenz-Quellcode zu synchronisieren (mtime ist nun unabh\u00e4ngig von der Build-Zeit), und um eine konsistente Reihenfolge der Metadaten und Strukturen in den Bin\u00e4rdateien zu gew\u00e4hrleisten. In diesem Stadium wird die Abdeckung durch wiederholbare Builds auf 90 % gesch\u00e4tzt. F\u00fcr die Gew\u00e4hrleistung wiederholbarer Builds in den verbleibenden 10 % ist die Mitwirkung der Maintainer problematischer Pakete erforderlich. Um die Durchf\u00fchrung von \u00c4nderungen in solchen Paketen zu f\u00f6rdern, beabsichtigen die Verantwortlichen, Fehler bei wiederholbaren Builds als Build-Fehler zu klassifizieren. <\/p>\n