Il distribuzione di Arch Linux ha fornito una build riproducibile delle immagini dei container, permettendo di garantire che i file binari forniti nell'immagine siano stati compilati dal codice sorgente fornito e non contengano modifiche nascoste. Le immagini riproducibili di Arch Linux sono disponibili su Docker Hub con il tag repro. Chiunque può compilare un'immagine del container bit a bit corrispondente a quelle distribuite dal progetto e verificare che l'infrastruttura di build del distributore, il compilatore e gli strumenti di compilazione non siano compromessi.
Durante la creazione delle build riproducibili, si considerano dettagli come la corrispondenza esatta delle dipendenze; l'uso di strumenti di compilazione invariabili e versioni; un set identico di opzioni e impostazioni predefinite; il mantenimento dell'ordine di compilazione dei file (applicazione degli stessi metodi di ordinamento); la disattivazione dell'aggiunta da parte del compilatore di informazioni ausiliarie variabili, come valori casuali, riferimenti a percorsi di file e dati sulla data e ora della compilazione. La riproducibilità delle build è influenzata anche da errori e condizioni di race nell'insieme di strumenti.
Le immagini riproducibili sono fornite separatamente poiché, per garantire una completa riproducibilità, non includono le chiavi per il gestore di pacchetti pacman. In caso di necessità di aggiornamenti o installazioni di pacchetti tramite pacman in queste immagini, è richiesto l'esecuzione del comando per ricreare il repository di chiavi («pacman-key --init && pacman-key --populate archlinux»). Per verificare l'identità della propria build con l'immagine distribuita tramite Docker Hub, è possibile confrontare gli hash restituiti dal comando «podman inspect --format '{{.Digest}}' » o utilizzare l'utilità diffoci.
Fonte: opennet.ru
