OpenSUSE teste la prise en charge des builds répétables

Les développeurs de la distribution openSUSE ont signalé des progrès dans leur projet visant à fournir un support pour les builds répétables. Le projet a préparé un fork conceptuel de la distribution Reproducible-openSUSE (RBOS), pour lequel la capacité de créer des packages binaires 100% identiques basés sur le référentiel de code source proposé, qui contient 3300 40 packages, a été obtenue. Au cours des travaux sur le projet, environ 1 patchs (2, 3, XNUMX) ont été préparés, résolvant les problèmes de réassemblage répété des packages. Environ la moitié de ces correctifs ont déjà été transférés vers des projets en amont. Les builds reproductibles d'openSUSE sont actuellement destinées à des fins de test uniquement et ne sont pas recommandées pour une utilisation dans les systèmes de production, car elles ne reçoivent pas de mises à jour pour corriger les vulnérabilités.

Le projet permet à l'utilisateur de créer ses propres builds qui sont bit à bit identiques aux builds pré-compilées proposées en téléchargement, afin de garantir que les binaires distribués dans les packages sont construits à partir du code source fourni et ne contiennent pas de modifications cachées. La possibilité de vérifier l'identité d'une build binaire permet de ne pas s'appuyer uniquement sur la confiance dans l'infrastructure de build de la distribution, où une compromission du compilateur ou des outils de build peut conduire à la substitution de portes dérobées cachées.

Lors de la formation d'assemblages répétables, des nuances telles que la correspondance exacte des dépendances, l'utilisation d'une composition et de versions inchangées des outils d'assemblage, un ensemble identique d'options et de paramètres par défaut, la préservation de l'ordre d'assemblage des fichiers (utilisation des mêmes méthodes de tri), la désactivation de l'ajout d'informations de service non constantes par le compilateur, telles que des valeurs aléatoires, des références aux chemins de fichiers et des données sur la date et l'heure de l'assemblage sont prises en compte. La reproductibilité de la build est également affectée par les bugs et les conditions de concurrence dans la chaîne d'outils.

Source: opennet.ru