rebuilderd est disponible pour la vérification indépendante d'Arch Linux grâce à des constructions reproductibles.

Présenté outils rebuilderd, permettant d'organiser une vérification indépendante des paquets binaires de la distribution via le déploiement d'un processus de construction continu, qui compare les paquets téléchargés avec ceux obtenus par la reconstruction sur un système local. L'outil est écrit en Rust et est distribué sous la licence GPLv3.

Actuellement, rebuilderd n'offre qu'un support expérimental pour la vérification des paquets d'Arch Linux, mais une prise en charge de Debian est prometteuse pour bientôt. Dans le cas le plus simple pour démarrer rebuilderd sont suffisants il faut installer le paquet rebuilderd depuis le dépôt standard, importer la clé GPG pour vérifier l'environnement et activer le service système correspondant. Il est possible de déployer un réseau de plusieurs instances de rebuilderd.

Le service suit l'état de l'index des paquets et lance automatiquement la reconstruction des nouveaux paquets dans un environnement de référence, dont l'état est synchronisé avec les réglages de l'environnement principal de construction d'Arch Linux. Lors de la reconstruction, des détails tels que la conformité exacte des dépendances, l'utilisation d'un ensemble et de versions d'outils de construction inchangés, un ensemble identique d'options et réglages par défaut, ainsi que la préservation de l'ordre de construction des fichiers (application des mêmes méthodes de tri) sont pris en compte. Les réglages du processus de construction excluent l'ajout par le compilateur d'informations de service temporaires, telles que des valeurs aléatoires, des chemins de fichiers et des données sur la date et l'heure de la construction.

Actuellement, les reconstructions répétables sont garanties pour 84.1% des paquets du dépôt core d'Arch Linux, 83.8% du dépôt extras et 76.9% du dépôt community. Pour comparaison, ce chiffre dans Debian 10 est est 94.1%. Les reconstructions répétables sont un maillon important de la sécurité, car elles permettent à tout utilisateur de s'assurer que les constructions de paquets proposées par la distribution correspondent exactement aux constructions compilées personnellement à partir des sources. Sans la possibilité de vérifier l'identité d'une construction binaire, l'utilisateur doit se fier aveuglément à l'infrastructure de construction des autres, dont la compromission du compilateur ou des outils de construction peut entraîner l'insertion de portes dérobées cachées.

Source : opennet.ru