Dans FreeBSD, le support pour des constructions reproductibles et des constructions sans droits root a été assuré.

L'organisation FreeBSD Foundation a annoncé la mise en œuvre du support des builds reproductibles, permettant de vérifier que les fichiers binaires distribués sont construits à partir du code source fourni et ne contiennent pas de modifications cachées. Parallèlement, il a été annoncé la possibilité de compiler FreeBSD dans des environnements non privilégiés, ne nécessitant pas de droits root. La suppression des composants exécutés pendant la construction avec des droits root permettra d'améliorer la sécurité de l'infrastructure de création des versions de FreeBSD, de réduire la surface d'attaque sur l'environnement de compilation et de simplifier la mise en place des builds automatisés.

Au stade de la compilation, des droits root étaient nécessaires pour créer des fichiers de périphériques, configurer des autorisations et monter des systèmes de fichiers supplémentaires (par exemple lors de la création d'images disque). Les modifications visant à remplacer de telles actions par des opérations ne nécessitant pas de droits root ont été ajoutées à la branche expérimentale de FreeBSD, mais seront par la suite transférées vers la branche sur laquelle se base la version FreeBSD 15.0. En plus de la compilation de la version à partir du code source, il est désormais également possible de créer des artefacts tels que des images ISO pour créer des clés USB d'installation et de démarrage, des images système pour machines virtuelles et des plateformes cloud.

En ce qui concerne les builds reproductibles, ils permettent d'obtenir l'identité des fichiers binaires générés à partir du code source dans différents environnements de compilation. Tout un chacun peut désormais personnellement s'assurer que les fichiers binaires distribués sont construits à partir des textes sources fournis, sans se fier uniquement à la confiance dans l'infrastructure de compilation du projet, la compromission du compilateur ou des outils de compilation pouvant mener à l'insertion de backdoors cachées.

Lors de la création d'assemblages reproductibles, de tels détails sont pris en compte, tels que la correspondance exacte des dépendances ; l'utilisation d'outils de compilation d'une composition et de versions immuables ; un ensemble identique d'options et de paramètres par défaut ; le maintien de l'ordre de construction des fichiers (application des mêmes méthodes de tri) ; la désactivation de l'ajout par le compilateur d'informations de service non constantes, telles que des valeurs aléatoires, des références aux chemins de fichiers et des données sur la date et l'heure de construction. La reproductibilité des assemblages est également affectée par des erreurs et des conditions de course dans les outils.

Source : opennet.ru