El equipo encargado de la formación de lanzamientos de Debian ha anunciado que la recolección reproducible de paquetes se convertirá en una característica obligatoria. Ayer se realizaron cambios en el sistema de construcción que bloquean la inclusión de nuevos paquetes en el repositorio que no admiten la construcción reproducible. También se prohíbe la actualización de paquetes existentes en el repositorio testing que presentan regresiones en la reproducibilidad de construcción.
En Debian 13, que cuenta con 36427 paquetes fuente, el soporte para construcciones repetibles es del 96.9% para la arquitectura x86_64 y del 96.8% para la arquitectura ARM64. En los repositorios de Debian Testing, el nivel de construcciones repetibles se estima en un 94.5% para la arquitectura ARM64 y un 75.7% para x86_64 al reconstruir 37809 paquetes fuente. La prueba de construcciones repetibles en el repositorio Debian Testing ha fallado para 1141 paquetes (3%), y 7952 paquetes (21%) enfrentaron problemas comunes durante la compilación a partir del código fuente.
Las construcciones repetibles permiten al usuario generar sus propias construcciones que coinciden bit a bit con los binarios listos para descargar. El usuario puede verificar personalmente que los binarios distribuidos en los paquetes y las imágenes de arranque se han compilado a partir de los códigos fuente suministrados y no contienen modificaciones ocultas. La verificación de la identidad de la construcción binaria permite no depender únicamente de la confianza en la infraestructura de construcción de la distribución, la cual podría verse comprometida si el compilador o las herramientas de construcción están comprometidas, lo que podría llevar a la inserción de puertas traseras ocultas.
Al generar construcciones repetibles, se consideran detalles como la coincidencia exacta de las dependencias; el uso de la misma composición y versiones de las herramientas de construcción; un conjunto idéntico de opciones y configuraciones predeterminadas; la preservación del orden de construcción de los archivos (aplicando los mismos métodos de clasificación); y la desactivación de la adición por parte del compilador de información auxiliar no constante, como valores aleatorios, referencias a rutas de archivos y datos sobre la fecha y hora de compilación. Los errores y condiciones de carrera en las herramientas también afectan la reproducibilidad de las construcciones.
Fuente: opennet.ru
