strumentazione , che consente di organizzare un controllo indipendente dei pacchetti binari della distribuzione tramite il dispiegamento di un processo di build continuo che confronta i pacchetti scaricati con quelli ottenuti attraverso la ricostruzione sulla sistema locale. Gli strumenti sono scritti in Rust e sono distribuiti sotto licenza GPLv3.
Attualmente, rebuilderd offre solo supporto sperimentale per la verifica dei pacchetti provenienti da Arch Linux, ma a breve promettono di aggiungere anche il supporto per Debian. Nel caso più semplice per avviare rebuilderd è necessario installare il pacchetto rebuilderd dal repository ufficiale, importare la chiave GPG per verificare l'ambiente e attivare il servizio di sistema corrispondente. È possibile dispiegare una rete composta da più istanze di rebuilderd.
Il servizio monitora lo stato dell'indice dei pacchetti e avvia automaticamente la ricostruzione di nuovi pacchetti in un ambiente di riferimento, il cui stato è sincronizzato con le impostazioni dell'ambiente di build principale di Arch Linux. Durante la ricostruzione si considerano aspetti quali la corrispondenza esatta delle dipendenze, l'uso di composizioni e versioni invariabili degli strumenti di build, un insieme identico di opzioni e impostazioni predefinite, la conservazione dell'ordine di costruzione dei file (applicazione degli stessi metodi di ordinamento). Le impostazioni del processo di build escludono l'aggiunta da parte del compilatore di informazioni ausiliarie variabili, come valori casuali, riferimenti ai percorsi dei file e dati sulla data e sull'ora della build.
Attualmente, le build ripetibili per l'84.1% dei pacchetti del repository core di Arch Linux, l'83.8% del repository extras e il 76.9% del repository community. A titolo di confronto, in Debian 10 questa percentuale è 94.1%. Le build ripetibili sono un collegamento importante per garantire la sicurezza, poiché consentono a qualsiasi utente di verificare che le build dei pacchetti offerte dalla distribuzione siano identiche, byte per byte, a quelle assemblate personalmente dagli sorgenti. Senza la possibilità di verificare l'identità della build binaria, l'utente deve solo fidarsi ciecamente dell'infrastruttura di build altrui, la compromissione del compilatore o degli strumenti di build potrebbe portare all'inserimento di backdoor nascoste.
Fonte: opennet.ru
