Distribucija Arch Linux osigurava reproducibilnu izradu slika kontejnera, što omogućava potvrdu da su binarni datoteke uključene u sliku izgrađene iz dostavljenog izvornog koda i da ne sadrže skrivene izmjene. Reproducibilne slike Arch Linuxa pohranjene su na Docker Hubu s oznakom repro. Svaka osoba može izgraditi kontejnersku sliku koja se po bitovima podudara s gotovim slikama distribuiranim projektom, te se uvjeriti da infrastruktura izrade distribucije, kompajler i alati za izradu nisu kompromitirani.
Prilikom formiranja reproducibilnih izrada uzimaju se u obzir savjeti kao što su točno usklađivanje ovisnosti; korištenje nepromijenjenog sastava i verzija alata za izradu; identičan set opcija i postavki prema zadanim postavkama; očuvanje redoslijeda izrade datoteka (primjena istih metoda sortiranja); onemogućavanje dodavanja nepromjenjivih informacija od strane kompajlera, poput slučajnih vrijednosti, referenci na putanje datoteka i podataka o datumu i vremenu izrade. Na reproducibilnost izrada također utječu greške i uvjeti utrkivanja u alatima.
Reproducibilne slike isporučuju se odvojeno jer za osiguranje potpune reproducibilnosti ne uključuju ključeve za paketni upravitelj pacman. U slučaju ažuriranja ili instalacije paketa putem pacmana, potrebno je pokrenuti naredbu za ponovnu izradu spremišta ključeva („pacman-key —init && pacman-key —populate archlinux“). Za provjeru identičnosti vlastite izrade s onom koja se distribuira putem Docker Huba, moguće je usporediti heševe koje daje naredba „podman inspect —format ‘{{.Digest}}’ “, ili upotrijebiti alat diffoci.
Izvor: opennet.ru
