Gli sviluppatori della distribuzione Arch Linux hanno annunciato di aver ricevuto un investimento di 562 mila euro dal fondo STF (Sovereign Tech Fund), istituito in Germania per stimolare lo sviluppo di infrastrutture digitali aperte e ecosistemi con codice sorgente aperto. Il fondo è stato creato con i fondi forniti dal Ministero dell'Economia e della Protezione del Clima della Germania ed è supervisionato dall'Agenzia Federale per le Innovazioni Distruttive SPRIND. I fondi sono destinati a finanziare la modernizzazione degli strumenti di gestione dei pacchetti ALPM (Arch Linux Package Management), sviluppando specifiche, utilità e librerie per affrontare compiti come la creazione e l'uso di pacchetti, oltre alla gestione dei repository.
Nell'ambito del progetto è stata tentata una strutturazione delle interfacce relative alla gestione dei pacchetti e la fornitura di strumenti e wrapper, scritti nel linguaggio di programmazione Rust. Le specifiche e le utilità sviluppate dal progetto si basano sulla funzionalità di Pacman. Il passaggio al linguaggio Rust, dopo l'uso del linguaggio C in Pacman, è giustificato dalla riduzione della probabilità di errori nella gestione della memoria. Come obiettivo dell'iniziativa è dichiarata l'integrazione nel ALPM del supporto a tutte le possibilità di gestione dei repository e creazione/verifica/installazione di pacchetti, oltre alla fornitura di funzionalità in grado di sostituire alcune possibilità del gestore di pacchetti Pacman.
Le risorse destinate sono previste per finanziare il lavoro di 4 sviluppatori sul progetto ALPM in modalità part-time per un periodo di 15 mesi. Il lavoro è iniziato a ottobre e continuerà fino alla fine del 2025. Tra le attività che si pianifica di risolvere nell'ambito del lavoro svolto, vengono menzionate:
- Creazione di specifiche formali per i formati di dati utilizzati nei pacchetti. Nella loro forma attuale, nei pacchetti Arch Linux vengono utilizzati tipi di file e metadati non documentati o scarsamente documentati. Si intende generalizzare le informazioni sulla struttura a basso livello dei pacchetti sotto forma di specifiche versionate, che regolano esplicitamente tutti i tipi di file e metadati accettabili.
- Implementazione di un meccanismo semplificato di verifica degli artefatti dei pacchetti basato su firme digitali, fondato sull'uso di OpenPGP, ma non legato al vecchio archivio centralizzato delle chiavi GnuPG.
- Fornitura di una libreria Rust per la creazione, verifica e installazione di pacchetti singoli, conformi ai requisiti delle specifiche formali, che definiscono chiaramente il contenuto ammesso dei pacchetti e i metodi per la loro creazione e gestione.
- Fornitura di una libreria Rust per la gestione dei pacchetti nel sistema (gestione dello stato del set di pacchetti che compongono il sistema). Per la compatibilità con le applicazioni più vecchie che utilizzano la libreria libalpm (ad esempio, utilizzata in pacman), è previsto di fornire un wrapper con C-API.
- Preparazione di un'infrastruttura di supporto PGPKI (Web of Trust) e di un stack OpenPGP indipendente dalla distribuzione per la verifica degli artefatti della distribuzione. Invece di GnuPG, si prevede di utilizzare alternative in Rust.
Fonte: opennet.ru
