Az openSUSE projekt fejlesztői bejelentették, hogy támogatják a megismételhető összeállításokat az openSUSE Factory tárolójában, amely a folyamatos verziófrissítési modell (rolling update) alapján működik, és az openSUSE Tumbleweed disztribúció alapját képezi. Az openSUSE Factory összeszerelési konfigurációja lehetővé teszi, hogy megbizonyosodjunk arról, hogy a csomagokban terjesztett bináris fájlok a nyújtott forráskódokból lettek összeállítva, és nem tartalmaznak rejtett változtatásokat. Például bárki személyesen ellenőrizheti, hogy a javasolt összeállítások pontosan megegyeznek azzal, ami a forráskódokból készült.
A megismételhető összeállítások kialakításakor figyelembe kell venni szakmai finomságokat, mint a pontos függőségek megfelelősége, a változatlan összeállítási eszközök összetétele és verziói, az azonos opciók és alapbeállítások, a fájlok összeállítási sorrendjének megőrzése (ugyanazok a rendezési módszerek alkalmazása), valamint a fordító által hozzáadott változó segédinformációk, mint például véletlenszerű értékek, fájlútvonalak hivatkozásai és a fordítás dátuma és időpontja, kikapcsolása.
A bináris összeállítások azonosságának ellenőrzési lehetősége nem csupán a gyártási infrastruktúrába vetett bizalomra támaszkodást tesz szükségessé, mivel a fordító vagy az összeállító eszköz kompromitációja rejtett hátsó ajtók beillesztéséhez vezethet. Például a megismételhető összeállításokat az openSUSE fejlesztői használták a rosszindulatú módosítások kizárására, amelyek megjelenhettek a tárolóban az xz csomag hátsó ajtóval való kompromittálása miatt (a liblzma könyvtár, amely a GCC kódot tartalmazó archívum kicsomagolásához használt, potenciálisan olyan változtatásokat hozhatott a GCC kódban, amelyek lehetővé tették a rosszindulatú elemek beillesztését az összeszerelt alkalmazásokba).
A Factory repository is not intended for end users and is mainly used by distribution developers, as stability is not guaranteed at any given time. System packages added to Factory undergo automated testing using the openQA toolset. After testing is completed and the consistency of dependencies is verified, the repository's content is mirrored several times a week, and the generated state snapshot is published as openSUSE Tumbleweed.
Forrás: opennet.ru
