rebuilderd dostupan za neovisnu provjeru Arch Linuxa s ponovljivim nadogradnjama

Predstavljeno alata ponovno izgrađen, koji vam omogućuje da organizirate neovisnu provjeru binarnih paketa distribucije kroz implementaciju neprekidnog procesa sklapanja koji provjerava preuzete pakete s paketima dobivenim kao rezultat ponovne izgradnje na lokalnom sustavu. Alati su napisani u Rustu i distribuiraju se pod GPLv3 licencom.

Trenutno je samo eksperimentalna podrška za provjeru paketa iz Arch Linuxa dostupna u rebuilderd-u, ali obećavaju da će uskoro dodati podršku za Debian. U najjednostavnijem slučaju, pokrenuti rebuilderd dovoljna je instalirajte rebuilderd paket iz standardnog repozitorija, uvezite GPG ključ za provjeru okruženja i aktivirajte odgovarajuću uslugu sustava. Moguće je razviti mrežu iz nekoliko instanci rebuilderda.

Servis prati stanje indeksa paketa i automatski pokreće ponovnu izgradnju novih paketa u referentnom okruženju, čije je stanje sinkronizirano s postavkama glavnog okruženja za izgradnju Arch Linuxa. Prilikom ponovne izgradnje uzimaju se u obzir takve nijanse kao što su točno podudaranje ovisnosti, korištenje istog sastava i verzija alata za sklapanje, identičan skup opcija i zadanih postavki te očuvanje redoslijeda sklapanja datoteke (korištenje istih metoda sortiranja). račun. Postavke procesa izgradnje sprječavaju prevoditelju dodavanje nepostojanih servisnih informacija, kao što su nasumične vrijednosti, poveznice na staze datoteka i informacije o datumu i vremenu izrade.

Trenutno ponovljive građevine pod uvjetom za 84.1% paketa iz jezgrenog repozitorija Arch Linuxa, 83.8% iz extras repozitorija i 76.9% iz repozitorija zajednice. Za usporedbu u Debianu 10 ova brojka je 94.1%. Ponovljive nadogradnje važan su element sigurnosti jer svakom korisniku daju mogućnost da se uvjeri da se nadogradnje paketa bajt po bajt koje nudi distribucija podudaraju sa sklopovima koji su osobno kompajlirani iz izvornog koda. Bez mogućnosti provjere identiteta binarnog sklopa, korisnik može samo slijepo vjerovati tuđoj infrastrukturi sklopa, gdje kompromitiranje kompajlera ili alata za sklapanje može dovesti do zamjene skrivenih knjižnih oznaka.

Izvor: opennet.ru