Gli sviluppatori della distribuzione Arch Linux hanno annunciato di aver ricevuto un investimento di 562 mila euro dal fondo STF (Sovereign Tech Fund), istituito in Germania per stimolare lo sviluppo di infrastrutture digitali aperte ed ecosistemi con codice sorgente aperto. Il fondo è stato creato con finanziamenti forniti dal Ministero dell'Economia e della Protezione del Clima tedesco e viene gestito dall'Agenzia Federale per le Innovazioni Distruttive SPRIND. Le risorse sono state destinate a lavori di modernizzazione degli strumenti di gestione dei pacchetti ALPM (Arch Linux Package Management), sviluppando specifiche, utilità e librerie per affrontare compiti come la creazione e l'uso di pacchetti e la gestione dei repository.
Nell'ambito del progetto è stato tentato di strutturare le interfacce relative alla gestione dei pacchetti, fornendo utilità e wrapper scritti nel linguaggio di programmazione Rust. Le specifiche e le utilità sviluppate dal progetto si basano sulla funzionalità di Pacman. La transizione al linguaggio Rust dopo l'uso del C in Pacman è spiegata dalla riduzione della probabilità di errori durante la gestione della memoria. L'obiettivo dell'iniziativa è dichiarato come l'integrazione in ALPM del supporto per tutte le funzionalità di gestione dei repository e la creazione/verifica/installazione di pacchetti, nonché la fornitura di funzionalità in grado di sostituire alcune capacità del gestore di pacchetti Pacman.
I fondi stanziati saranno utilizzati per finanziare il lavoro di 4 sviluppatori sul progetto ALPM a tempo parziale per un periodo di 15 mesi. I lavori sono iniziati ad ottobre e proseguiranno fino alla fine del 2025. Tra i compiti che si prevede di risolvere durante il lavoro sono menzionati:
- Creazione di specifiche formali per i formati dei dati utilizzati nei pacchetti. Nella sua forma attuale, i pacchetti Arch Linux utilizzano tipi di file e metadati non documentati o scarsamente documentati. L'informazione sulla struttura di basso livello dei pacchetti sarà sintetizzata in specifiche versionate che regolano esplicitamente tutti i tipi di file e metadati consentiti.
- Implementazione di un meccanismo di verifica semplificato degli artefatti dei pacchetti basato sulle firme digitali, utilizzando OpenPGP, ma non legato a un vecchio deposito centralizzato delle chiavi GnuPG.
- Fornitura di una libreria Rust per la creazione, verifica e installazione di singoli pacchetti che soddisfino i requisiti delle specifiche formali, definendo esplicitamente il contenuto consentito dei pacchetti e i metodi per la loro creazione e gestione.
- Fornitura di una libreria Rust per la gestione dei pacchetti nel sistema (elaborazione dello stato del set di pacchetti che costituiscono il sistema). Per garantire la compatibilità con le vecchie applicazioni che utilizzano la libreria libalpm (ad esempio, utilizzata in pacman), è prevista la fornitura di un'interfaccia di collegamento con C-API.
- Preparazione del PGPKI di supporto (Web of Trust) e di un stack OpenPGP indipendente dalla distribuzione per la verifica degli artefatti di distribuzione. Invece di GnuPG, si prevede di utilizzare alternative scritte in Rust.
Fonte: opennet.ru
