Razvijači distribucije openSUSE izvijestili su o napretku projekta podrške za ponovljive gradnje. U sklopu projekta pripremljen je konceptualni fork distribucije Reproducible-openSUSE (RBOS), za koji je postignuta mogućnost gradnje 100% identičnih binarnih paketa na temelju predloženog repozitorija sa izvorom, koji sadrži 3300 paketa. Tijekom rada na projektu pripremljeno je oko 40 zakrpa (1, 2, 3), koje rješavaju probleme s ponovnom gradnjom paketa. Otprilike polovica tih zakrpa već je predana upstream projektima. Gradnje Reproducible-openSUSE trenutno su namijenjene samo za testiranje i nisu preporučene za korištenje u radnim sustavima, jer za njih ne postoje ažuriranja za ispravljanje ranjivosti.
Projekt omogućuje korisnicima da formiraju vlastite gradnje, bit po bit, koje se podudaraju s dostupnim verzijama za preuzimanje, kako bi se uvjerili da su binarni datoteke distribuirane u paketima sastavljene iz dostavljenih izvora i ne sadrže skrivene promjene. Mogućnost provjere identiteta binarnih gradnji omogućuje da se ne oslanjaju isključivo na povjerenje u infrastrukturu gradnje distribucije, čija bi kompromitacija kompajlera ili alata za gradnju mogla dovesti do umetanja skrivenih backdoor-a.
Pri formiranju ponovljivih gradnji uzimaju se u obzir nijanse poput točne usklađenosti sa zavisnostima, korištenja nepromjenjivog sastava i verzija alata za gradnju, identičnog skupa opcija i postavki prema zadanim postavkama, očuvanja reda gradnje datoteka (primjena istih metoda sortiranja), isključivanja dodavanja nepouzdanih pomoćnih informacija od strane kompajlera, poput slučajnih vrijednosti, referenci na putanje datoteka i podataka o datumu i vremenu gradnje. Na reproducibilnost gradnji također utječu greške i stanje utrke u alatima.
Izvor: opennet.ru
