Approbation de la garantie de constructions reproductibles dans Fedora 43

Le comité FESCo (Fedora Engineering Steering Committee), responsable de la partie technique du développement de la distribution Fedora Linux, a approuvé un projet visant à garantir des constructions reproductibles des paquets dans la version automnale de Fedora 43. L'initiative vise à permettre l'utilisation de constructions reproductibles pour au moins 99 % des paquets dans le dépôt.

Les constructions reproductibles permettront de créer des RPM personnalisés qui correspondent aux paquets binaires prêts à être téléchargés. Les correspondances sont assurées au niveau des métadonnées de base et des fichiers inclus dans le paquet (seules les métadonnées concernant le temps de construction, l'hôte de construction et la signature numérique varieront). L'utilisateur pourra vérifier personnellement que les fichiers binaires distribués dans les paquets ont été compilés à partir des sources fournies et ne contiennent pas de modifications cachées. La vérification de l'identité d'une construction binaire permet de ne pas se fier uniquement à la confiance envers l'infrastructure de construction de la distribution, la compromission du compilateur ou de l'outil de construction pourrait entraîner l'insertion de backdoors cachées.

En plus de la sécurité, les constructions reproductibles seront également utiles pour le contrôle qualité — les problèmes rencontrés lors des tentatives d'obtenir des constructions reproductibles sont souvent causés par des erreurs ou du désordre dans le code, par exemple, l'utilisation dans des paquets marqués comme « noarch » de dépendances liées à des architectures matérielles spécifiques. Les constructions reproductibles simplifieront également le développement des paquets — après de petites modifications, les paquets reconstruits ne différeront que par les éléments directement liés à la modification apportée, ce qui simplifiera considérablement la comparaison des versions des paquets et l'analyse des changements.

Lors de la création de constructions répétables, des nuances telles que la correspondance exacte des dépendances sont prises en compte ; l'utilisation d'outils de construction et de versions inchangées ; un ensemble identique d'options et de paramètres par défaut ; le maintien de l'ordre de construction des fichiers (application des mêmes méthodes de tri) ; la désactivation de l'ajout d'informations de service non constantes par le compilateur, telles que des valeurs aléatoires, des références à des chemins de fichiers et des données de date et d'heure de construction. Les erreurs et les conditions de concurrence dans les outils influencent également la reproductibilité des constructions.

L'infrastructure du projet Fedora est déjà prête pour la réalisation d'assemblages répétables. Par exemple, dans les versions précédentes, des modifications ont été apportées au système d'assemblage, synchronisant les métadonnées sur les dates de modification des fichiers avec le code source de référence (mtime ne dépend désormais plus du moment de l'assemblage), ainsi qu'assurant un ordre constant des métadonnées et des structures dans les fichiers binaires. À ce stade, la couverture par les assemblages répétables est estimée à 90 %. Pour garantir des assemblages répétables dans les 10 % restants, l'implication des mainteneurs de paquets problématiques est nécessaire. Pour inciter à apporter des corrections à ces paquets, les échecs d'assemblages répétables seront traités comme des erreurs d'assemblage.

Des projets similaires visant à garantir la prise en charge des assemblages répétables sont également en cours de développement pour les distributions Debian, Arch Linux, openSUSE et NixOS.

Source : opennet.ru