NixOS prend en charge les builds reproductibles pour les images ISO.

Les développeurs de la distribution NixOS ont annoncé la mise en place d'un support pour la vérification de l'intégrité de l'image ISO minimale (iso_minimal.x86_64-linux) à l'aide du mécanisme de builds reproductibles. Auparavant, les builds reproductibles étaient disponibles au niveau des paquets individuels, mais sont désormais étendus à l'ensemble de l'image ISO. Tout utilisateur peut créer une image ISO, totalement identique à celle fournie pour le téléchargement, et s'assurer qu'elle est construite à partir des sources disponibles et ne contient pas de modifications cachées. Un script spécial a été préparé pour automatiser la vérification de l'image ISO NixOS à l'aide de builds reproductibles. À l'étape suivante, il est prévu d'assurer des builds reproductibles pour l'image ISO complète avec l'environnement de bureau GNOME.

Les builds reproductibles sont un élément crucial pour garantir la sécurité, car ils permettent de vérifier soi-même que les builds proposées par la distribution correspondent exactement aux builds construites personnellement à partir des sources. Sans la possibilité de vérifier l'identité de la construction binaire, l'utilisateur n'a d'autre choix que de faire aveuglément confiance à l'infrastructure de construction d'autrui, dont la compromission du compilateur ou de l'outillage de construction pourrait entraîner l'insertion de backdoors cachés. Pour assurer des builds reproductibles, il est nécessaire de reproduire le contenu et les paramètres de l'environnement de construction, d'utiliser des versions identiques des programmes, des dépendances et des composants de démarrage, d'exclure l'ajout de données variables (empreintes horaires, remplissages aléatoires, etc.), ainsi que de conserver l'ordre de construction des fichiers et la fourniture des paquets dans l'image ISO.

Rappelons que la distribution NixOS est basée sur le gestionnaire de paquets Nix et offre plusieurs développements propres facilitant la configuration et la maintenance du système. Par exemple, NixOS utilise un fichier de configuration système unique (configuration.nix), permet de revenir rapidement à des mises à jour antérieures, prend en charge le changement entre différents états du système, prend en charge l'installation de paquets individuels par des utilisateurs séparés (le paquet est installé dans le répertoire personnel) et permet l'installation simultanée de plusieurs versions d'un même programme. En utilisant Nix, les paquets sont installés dans un arbre de répertoires séparé /nix/store ou un sous-répertoire dans le répertoire de l'utilisateur. Par exemple, un paquet est installé comme /nix/store/f2b5…8a563-firefox-89.0.1/, où « f2b5… » est l'identifiant unique du paquet utilisé pour le contrôle des dépendances.

Les paquets sont présentés sous forme de conteneurs contenant tous les composants nécessaires au fonctionnement des applications. Il est possible de définir des dépendances entre les paquets, et pour vérifier la présence de dépendances déjà installées, la méthode de recherche repose sur le scanning des identifiants de hachage dans le répertoire des paquets installés. Il est possible de télécharger des paquets binaires prêts à l'emploi depuis le dépôt (lors de l'installation des mises à jour, seules les modifications delta des paquets binaires sont téléchargées), ainsi que de complier à partir des sources avec toutes les dépendances. La collection de paquets est présentée dans un dépôt spécial Nixpkgs.

Source : opennet.ru