Gli sviluppatori del progetto openSUSE hanno annunciato il supporto per build ripetibili nel repository openSUSE Factory, che utilizza un modello di aggiornamento continuo delle versioni software (rolling updates) e funge da base per la distribuzione di openSUSE Tumbleweed. La configurazione di build di openSUSE Factory ora consente di verificare che i file binari distribuiti nei pacchetti siano stati costruiti a partire dai sorgenti forniti e non contengano modifiche nascoste. Ad esempio, qualsiasi utente può verificare personalmente che le build proposte corrispondano bit a bit alle build compilate direttamente dai sorgenti.
Nella formazione delle build ripetibili vengono considerati dettagli come la corrispondenza esatta delle dipendenze, l'uso di strumenti di build invariabili e versioni identiche, lo stesso insieme di opzioni e impostazioni predefinite, la conservazione dell'ordine di costruzione dei file (applicazione degli stessi metodi di ordinamento), e la disabilitazione dell'aggiunta di informazioni di servizio non costanti da parte del compilatore, come valori casuali, riferimenti a percorsi di file e dati sulla data e ora di build.
La possibilità di verificare l'identità di una build binaria consente di non fare affidamento esclusivo sulla fiducia nell'infrastruttura di build, la compromissione del compilatore o degli strumenti di build potrebbe portare all'inserimento di backdoor nascoste. Ad esempio, le build ripetibili sono state utilizzate dagli sviluppatori di openSUSE per escludere modifiche dannose che potrebbero essere apparse nel repository a seguito di un incidente che ha portato all'aggiunta di un backdoor nel pacchetto xz (una libreria compromessa liblzma, utilizzata per estrarre archivi di codice GCC, avrebbe potuto apportare modifiche al codice GCC che potrebbero essere utilizzate per inserire elementi dannosi nelle applicazioni assemblate).
Il repository Factory non è destinato agli utenti finali ed è principalmente utilizzato dagli sviluppatori della distribuzione, poiché non garantisce stabilità in alcun momento. I pacchetti di sistema aggiunti a Factory vengono sottoposti a test automatizzati utilizzando lo strumento openQA. Al termine dei test e della verifica dello stato coerente delle dipendenze, il contenuto del repository viene aggiornato su specchi diverse volte alla settimana e lo stato attuale viene pubblicato come openSUSE Tumbleweed.
Fonte: opennet.ru
