Il distribuzione Arch Linux ha fornito una costruzione riproducibile di immagini container, consentendo di verificare che i file binari forniti nell'immagine siano stati compilati dal codice sorgente fornito e non contengano modifiche nascoste. Le immagini riproducibili di Arch Linux sono ospitate su Docker Hub con il tag repro. Chiunque può compilare dal codice sorgente un'immagine container bit per bit corrispondente a quelle pronte diffuse dal progetto, e verificare che l'infrastruttura di compilazione della distribuzione, il compilatore e gli strumenti di compilazione non siano compromessi.
Nella formazione di costruzioni riproducibili, vengono presi in considerazione aspetti come la corrispondenza esatta delle dipendenze; l'uso di strumenti di compilazione inalterati e le loro versioni; lo stesso insieme di opzioni e impostazioni predefinite; il mantenimento dell'ordine di compilazione dei file (applicando gli stessi metodi di ordinamento); la disabilitazione dell'aggiunta da parte del compilatore di informazioni di servizio inaffidabili, come valori casuali, riferimenti a percorsi di file e dati sulla data e ora della compilazione. Anche gli errori e le condizioni di gara negli strumenti influenzano la riproducibilità delle costruzioni.
Le immagini riproducibili sono fornite separatamente in quanto, per garantire una completa riproducibilità, non includono le chiavi per il gestore di pacchetti pacman. In caso di necessità di aggiornamento o installazione di pacchetti tramite pacman, in queste immagini è necessario eseguire il comando per ricreare il deposito delle chiavi («pacman-key --init && pacman-key --populate archlinux»). Per verificare l'identità della propria costruzione con l'immagine fornita tramite Docker Hub, è possibile confrontare gli hash restituiti dal comando «podman inspect --format '{{.Digest}}' », oppure utilizzare l'utilità diffoci.
Fonte: opennet.ru
