Les développeurs de la distribution openSUSE ont rapporté les succès du projet visant à assurer la prise en charge des constructions reproductibles. Dans le cadre de ce projet, un fork conceptuel de la distribution Reproducible-openSUSE (RBOS) a été préparé, pour lequel il a été possible de construire des paquets binaires 100% identiques à partir d'un dépôt proposé contenant les codes sources, totalisant 3300 paquets. Au cours de ce projet, environ 40 correctifs (1, 2, 3) ont été développés pour résoudre les problèmes de reconstruction répétée des paquets. Environ la moitié de ces correctifs ont déjà été transférés dans des projets en amont. Les constructions Reproducible-openSUSE sont pour l'instant destinées uniquement aux tests et ne sont pas recommandées pour une utilisation dans des systèmes de production, car des mises à jour de sécurité ne sont pas générées pour elles.
Le projet permet à l'utilisateur de créer ses propres constructions, bit à bit identiques aux constructions prêtes à l'emploi disponibles au téléchargement, afin de s'assurer que les fichiers binaires distribués dans les paquets sont issus des codes sources fournis et ne contiennent pas de modifications cachées. La possibilité de vérifier l'identité de la construction binaire permet de ne pas se fier uniquement à la confiance envers l'infrastructure de construction de la distribution, dont la compromission du compilateur ou des outils de construction pourrait conduire à l'injection de backdoors cachées.
Lors de la création de constructions reproductibles, des éléments tels que la correspondance exacte des dépendances, l'utilisation de versions et de compositions d'outils de construction immuables, un ensemble d'options et de paramètres par défaut identiques, et le respect de l'ordre de construction des fichiers (application des mêmes méthodes de tri) sont pris en compte, ainsi que la désactivation par le compilateur de l'ajout d'informations de service non constantes, telles que des valeurs aléatoires, des chemins de fichiers et des données sur la date et l'heure de construction. Des erreurs et des conditions de course dans les outils influencent également la reproductibilité des constructions.
Source : opennet.ru
