L'organizzazione FreeBSD Foundation ha annunciato l'implementazione del supporto per build riproducibili, che consente di verificare che i file binari distribuiti siano stati compilati dal codice sorgente fornito e non contengano modifiche nascoste. È stato anche dichiarato che sarà possibile compilare FreeBSD in ambienti non privilegiati, senza la necessità di avere diritti di root. L'eliminazione dei componenti eseguiti durante la compilazione con diritti di root aumenterà la sicurezza dell'infrastruttura per la generazione delle release di FreeBSD, ridurrà la superficie d'attacco dell'ambiente di compilazione e semplificherà l'organizzazione delle build automatizzate.
Durante la fase di build, i privilegi di root erano necessari per la creazione dei file dei dispositivi, l'impostazione dei permessi e il montaggio di filesystem aggiuntivi (ad esempio, nella creazione di immagini disco). Le modifiche per sostituire tali operazioni con operazioni non richiedenti i privilegi di root sono state aggiunte nel ramo sperimentale di FreeBSD, ma verranno trasferite anche nel ramo su cui si basa il rilascio di FreeBSD 15.0. Oltre alla creazione del rilascio dal codice sorgente, ora è possibile creare senza privilegi di root anche artefatti come immagini iso per la creazione di unità USB di installazione e avvio, immagini di sistema per di macchine virtuali e piattaforme cloud.
Per quanto riguarda le build riproducibili, esse consentono di ottenere l'identità dei file binari generati dal codice sorgente in diversi ambienti di build. Chiunque può ora verificare di persona che i file binari distribuiti sono stati compilati dai testi sorgente forniti, senza fare affidamento sulla fiducia nell'infrastruttura di build del progetto; la compromissione del compilatore o degli strumenti di build potrebbe portare all'inserimento di backdoor nascoste.
Durante la creazione delle build riproducibili, si considerano dettagli come la corrispondenza esatta delle dipendenze; l'uso di strumenti di compilazione invariabili e versioni; un set identico di opzioni e impostazioni predefinite; il mantenimento dell'ordine di compilazione dei file (applicazione degli stessi metodi di ordinamento); la disattivazione dell'aggiunta da parte del compilatore di informazioni ausiliarie variabili, come valori casuali, riferimenti a percorsi di file e dati sulla data e ora della compilazione. La riproducibilità delle build è influenzata anche da errori e condizioni di race nell'insieme di strumenti.
Fonte: opennet.ru
