L'organizzazione FreeBSD Foundation ha annunciato il supporto per build riproducibili, consentendo di verificare che i file binari distribuiti siano compilati dal codice sorgente fornito e non contengano modifiche nascoste. È stata anche annunciata la possibilità di compilare FreeBSD in ambienti non privilegiati, senza la necessità di diritti di root. L'eliminazione di componenti eseguiti durante la compilazione con diritti di root permetterà di aumentare la sicurezza dell'infrastruttura per la creazione di release di FreeBSD, ridurre la superficie di attacco sull'ambiente di compilazione e semplificare l'organizzazione delle build automatizzate.
Durante la fase di compilazione, i diritti di root erano necessari per creare file di dispositivo, impostare i permessi e montare file system aggiuntivi (ad esempio, durante la creazione delle immagini disco). Le modifiche per sostituire tali azioni con operazioni che non richiedono diritti di root sono state aggiunte al ramo sperimentale di FreeBSD, ma saranno successivamente trasferite anche nel ramo da cui viene creata la release di FreeBSD 15.0. Oltre alla compilazione della release dal codice sorgente, ora è possibile creare senza diritti di root anche artefatti come immagini ISO per la creazione di supporti di installazione e avvio Flash, immagini di sistema per macchine virtuali e piattaforme cloud.
Per quanto riguarda le build riproducibili, queste consentono di ottenere l'identità dei file binari generati dal codice sorgente in diversi ambienti di compilazione. Chiunque può ora verificare personalmente che i file binari distribuiti siano stati compilati dai testi sorgente forniti, senza fare affidamento soltanto sulla fiducia nell'infrastruttura di compilazione del progetto, la compromissione del compilatore o degli strumenti di compilazione potrebbe portare all'inserimento di backdoor nascoste.
Nella formazione di costruzioni riproducibili, vengono presi in considerazione aspetti come la corrispondenza esatta delle dipendenze; l'uso di strumenti di compilazione inalterati e le loro versioni; lo stesso insieme di opzioni e impostazioni predefinite; il mantenimento dell'ordine di compilazione dei file (applicando gli stessi metodi di ordinamento); la disabilitazione dell'aggiunta da parte del compilatore di informazioni di servizio inaffidabili, come valori casuali, riferimenti a percorsi di file e dati sulla data e ora della compilazione. Anche gli errori e le condizioni di gara negli strumenti influenzano la riproducibilità delle costruzioni.
Fonte: opennet.ru
