alat , koji omogućava neovisnu provjeru binarnih paketa distribucije putem kontinuiranog procesa izgradnje, uspoređujući preuzete pakete s onima dobivenim ponovnim sastavljanjem na lokalnom sustavu. Alat je napisan na jeziku Rust i distribuira se pod GPLv3 licencom.
Trenutno rebuilderd nudi samo eksperimentalnu podršku za verifikaciju paketa iz Arch Linuxa, no uskoro obećavaju dodati podršku i za Debian. U najjednostavnijem slučaju, za pokretanje rebuilderd instalirati paket rebuilderd iz standardnog repozitorija, uvesti GPG ključ za provjeru okruženja i aktivirati odgovarajuću sistemsku uslugu. Moguće je postaviti mrežu s nekoliko instanci rebuilderd.
Usluga prati stanje indeksa paketa i automatski pokreće ponovno sastavljanje novih paketa u referentnom okruženju, čije je stanje usklađeno s postavkama glavnog okruženja za izgradnju Arch Linux. Prilikom ponovnog sastavljanja uzimaju se u obzir takvi detalji kao što su točno podudaranje zavisnosti, korištenje nepromijenjenog sastava i verzija alat za izgradnju, identičan set opcija i postavki prema zadanim postavkama, održavanje reda sastavljanja datoteka (primjena istih metoda sortiranja). Postavke procesa izgradnje isključuju dodavanje nepostojanih informacija od strane prevoditelja, kao što su slučajne vrijednosti, veze na datotečne putanje i podaci o datumu i vremenu sastavljanja.
Trenutno su ponovljene izgradnje za 84,1% paketa iz core repozitorija Arch Linux, 83,8% iz repozitorija extras i 76,9% iz repozitorija community. Za usporedbu, u Debiana 10 ovaj pokazatelj iznosi 94,1%. Ponovljene izgradnje su važan dio osiguravanja sigurnosti jer omogućavaju svakom korisniku da se uvjeri da predložene distribucijske verzije paketa bajt po bajt odgovaraju verzijama koje su osobno sastavljene iz izvornog koda. Bez mogućnosti provjere identičnosti binarne izgradnje, korisniku ostaje samo slijepo vjerovati tuđoj infrastrukturi za izgradnju, čija kompromitacija prevoditelja ili alata za izgradnju može dovesti do umetanja skrivenih zaklada.
Izvor: opennet.ru
