Razvijači projekta openSUSE najavili su osiguranje podrške za ponovljive gradnje u repozitoriju openSUSE Factory, koji koristi model kontinuiranog ciklusa ažuriranja verzija softvera (rolling ažuriranja) i služi kao osnova za izgradnju distribucije openSUSE Tumbleweed. Konfiguracija gradnje openSUSE Factory sada omogućava provjeru da su distribuirani binarni paketi sastavljeni iz dostupnih izvornog koda i da ne sadrže skrivene izmjene. Na primjer, svaki korisnik može osobno provjeriti da su ponuđene gradnje bitno identične onima koje su sastavljene iz izvornog koda.
Prilikom formiranja ponovljivih gradnji uzimaju se u obzir nijanse poput točne usklađenosti zavisnosti, korištenje nepromjenljivog sastava i verzija alata za gradnju, identičan skup opcija i podešavanja po zadanim postavkama, očuvanje redoslijeda gradnje datoteka (primjena istih metoda sortiranja), isključivanje dodavanja nestabilnih pomoćnih informacija od strane prevodioca, kao što su slučajne vrijednosti, reference na putanje datoteka i podaci o datumu i vremenu gradnje.
Mogućnost provjere identiteta binarne gradnje omogućava da se ne oslanjamo isključivo na povjerenje u infrastrukturu za gradnju, kompromitacija prevodioca ili alata za gradnju može dovesti do umetanja skrivenih zloćudnih kodova. Na primjer, ponovljive gradnje koristili su razvojni programi openSUSE za isključivanje zloćudnih modifikacija koje su se mogle pojaviti u repozitoriju uslijed incidenta uključivanja backdoora u paket xz (kompromitirana biblioteka liblzma, koja je korištena za raspakivanje arhive s GCC kodom, potencijalno je mogla unijeti promjene u GCC kod koje su mogle biti korištene za umetanje zloćudnih elemenata u sastavljene aplikacije).
Factory repozitorij nije namijenjen krajnjim korisnicima i prvenstveno ga koriste programeri distribucije, jer se ne jamči stabilnost u bilo kojem trenutku. Dodani sistemski paketi u Factory prolaze automatizirana testiranja pomoću openQA alata. Nakon završetka testiranja i provjere koherentnog stanja zavisnosti, sadržaj repozitorija se nekoliko puta tjedno prebacuje na zrcala, a formirani presjek stanja objavljuje se kao openSUSE Tumbleweed.
Izvor: opennet.ru
