{"id":123479,"date":"2025-04-12T15:05:20","date_gmt":"2025-04-12T13:05:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43"},"modified":"2025-04-12T15:05:20","modified_gmt":"2025-04-12T13:05:20","slug":"utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/utverzhdeno-obespechenie-povtoryaemyh-sborok-v-fedora-43","title":{"rendered":"Genehmigt wurde die Bereitstellung reproduzierbarer Builds in Fedora 43","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das FESCo (Fedora Engineering Steering Committee), das f\u00fcr den technischen Teil der Entwicklung des Fedora Linux-Distributions verantwortlich ist, hat ein Projekt zur Gew\u00e4hrleistung wiederholbarer Paket-Bauten im Herbst-Release von Fedora 43 genehmigt. Ziel der Initiative ist es, wiederholbare Bauten f\u00fcr mindestens 99% der Pakete im Repository anzubieten. <\/p>\n
Wiederholbare Bauten erm\u00f6glichen die Erstellung eigener RPM-Pakete, die mit den zum Download angebotenen fertigen Bin\u00e4rpaketen \u00fcbereinstimmen. Die \u00dcbereinstimmung erfolgt auf der Ebene der grundlegenden Metadaten und der im Paket enthaltenen Dateien (die einzigen Unterschiede werden in den Metadaten \u00fcber die Bauzeit, den Bau-Host und die digitale Signatur bestehen). Benutzer k\u00f6nnen sich pers\u00f6nlich davon \u00fcberzeugen, dass die in den Paketen verbreiteten Bin\u00e4rdateien aus den bereitgestellten Quelltexten erstellt wurden und keine versteckten \u00c4nderungen enthalten. Die \u00dcberpr\u00fcfung der Identit\u00e4t des Bin\u00e4rbaus erm\u00f6glicht es, sich nicht nur auf das Vertrauen in die Bauinfrastruktur der Distribution zu verlassen; eine Kompromittierung des Compilers oder der Bauwerkzeuge k\u00f6nnte zur Einschleusung versteckter Backdoors f\u00fchren. <\/p>\n
Neben der Sicherheit sind reproduzierbare Builds auch hilfreich f\u00fcr die Qualit\u00e4tskontrolle \u2013 Probleme bei der Erreichung reproduzierbarer Builds entstehen h\u00e4ufig durch Fehler oder Unordnung im Code, wie zum Beispiel die Verwendung von Paketen, die als \u201enoarch\u201c gekennzeichnet sind, oder von Abh\u00e4ngigkeiten, die an bestimmte Hardwarearchitekturen gebunden sind. Reproduzierbare Builds erleichtern auch die Paketerstellung \u2013 nach kleinen Anpassungen unterscheiden sich die neu erstellen Pakete nur durch die Elemente, die direkt mit der vorgenommenen \u00c4nderung verbunden sind, was den Vergleich von Paketversionen und die Analyse von \u00c4nderungen erheblich erleichtert. <\/p>\n
Bei der Erstellung wiederholbarer Builds werden solche Nuancen ber\u00fccksichtigt, wie die exakte \u00dcbereinstimmung der Abh\u00e4ngigkeiten; die Verwendung unver\u00e4nderter Bestandteile und Versionen des Build-Toolsets; identische S\u00e4tze von Optionen und Standardeinstellungen; die Beibehaltung der Reihenfolge des Baus von Dateien (Anwendung derselben Sortiermethoden); die Deaktivierung durch den Compiler hinzugef\u00fcgter nicht konstanter Metainformationen, wie zuf\u00e4llig generierte Werte, Verweise auf Dateipfade und Daten zum Datum und zur Uhrzeit des Builds. Auf die Reproduzierbarkeit der Builds wirken sich auch Fehler und Race Conditions in den Tools aus. <\/p>\n
Die Infrastruktur des Fedora-Projekts ist bereits bereit f\u00fcr wiederholbare Builds. Beispielsweise wurden in fr\u00fcheren Versionen \u00c4nderungen am Build-System vorgenommen, die die Metadaten zum \u00c4nderungszeitpunkt der Dateien mit dem Referenz-Quellcode synchronisieren (mtime ist jetzt unabh\u00e4ngig von der Build-Zeit), sowie eine konstante Reihenfolge der Auflistung von Metadaten und Strukturen in Bin\u00e4rdateien sicherstellen. In dieser Phase wird der Anteil der wiederholbaren Builds auf 90 % gesch\u00e4tzt. F\u00fcr die verbleibenden 10 % ist die Mitwirkung der Maintainer von problematischen Paketen erforderlich, um wiederholbare Builds zu gew\u00e4hrleisten. Um die \u00c4nderung solcher Pakete zu f\u00f6rdern, sollen Fehler bei der Durchf\u00fchrung wiederholbarer Builds als Build-Fehler behandelt werden. <\/p>\n