Il team responsabile della creazione delle versioni di Debian ha annunciato che il ricompilazione riproducibile dei pacchetti è diventata una caratteristica obbligatoria. Ieri nel sistema di build sono state apportate modifiche che bloccano l'aggiunta nel repository di nuovi pacchetti che non supportano la ricompilazione riproducibile. È vietato anche aggiornare i pacchetti esistenti nel repository testing, nei quali sono state rilevate regressioni sulla riproducibilità della compilazione.
In Debian 13, che conta 36427 pacchetti sorgente, il supporto per le build ripetibili è del 96.9% per l'architettura x86_64 e del 96.8% per l'architettura ARM64. Nei repository Debian Testing, il livello delle build ripetibili è stato valutato al 94.5% per l'architettura ARM64 e al 75.7% per x86_64, durante la ricompilazione di 37809 pacchetti sorgente. Il test delle build ripetibili nel repository Debian Testing è fallito per 1141 pacchetti (3%), mentre 7952 pacchetti (21%) hanno presentato problemi generali durante la compilazione dai sorgenti.
Le build ripetibili consentono all'utente di creare le proprie build, che corrispondono bit per bit a quelle pronte per il download. L'utente può verificare personalmente che i file binari distribuiti nei pacchetti e nelle immagini di avvio siano stati compilati dai testi sorgenti forniti e non contenengano modifiche nascoste. La verifica dell'identità della build binaria consente di non dipendere unicamente dalla fiducia nell'infrastruttura di build del distributore; la compromissione del compilatore o degli strumenti di build potrebbe portare all'inserimento di backdoor nascoste.
Nella formazione delle build ripetibili si tengono conto di dettagli come la corrispondenza esatta delle dipendenze; l'uso di un insieme invariato di versioni e strumenti di build; un set identico di opzioni e impostazioni predefinite; la conservazione dell'ordine di costruzione dei file (applicazione degli stessi metodi di ordinamento); disabilitazione dell'aggiunta di informazioni di servizio non costanti da parte del compilatore, come valori casuali, riferimenti ai percorsi dei file e dati sulla data e l'ora della build. Anche gli errori e le condizioni di competizione negli strumenti influiscono sulla riproducibilità delle build.
Fonte: opennet.ru
