Ontwikkelaars van de openSUSE-distributie hebben succes gerapporteerd over het project dat gericht is op het waarborgen van ondersteuning voor reproduceerbare builds. Binnen het project is een conceptfork van de distributie Reproducible-openSUSE (RBOS) ontwikkeld, waarvoor het mogelijk is om 100% identieke binaire pakketten te bouwen op basis van de aangeboden repository met bronbestanden, die 3300 pakketten omvat. Tijdens het werken aan het project zijn ongeveer 40 patches voorbereid (1, 2, 3) die problemen met reproduceerbare rebuilds oplossen. Ongeveer de helft van deze patches is al naar upstream-projecten gestuurd. De builds van Reproducible-openSUSE zijn voorlopig alleen bedoeld voor testen en worden niet aanbevolen voor gebruik in productieomgevingen, aangezien er geen updates worden opgeleverd om kwetsbaarheden te verhelpen.
Het project stelt gebruikers in staat om hun eigen builds te creƫren die bit-voor-bit overeenkomen met de aangeboden kant-en-klare builds, om te verifiƫren dat de in de pakketten verspreide binaire bestanden zijn samengesteld uit de aangeboden bronbestanden en geen verborgen wijzigingen bevatten. De mogelijkheid om de identiteit van de binaire build te verifiƫren maakt het mogelijk om niet alleen op vertrouwen in de build-infrastructuur van de distributie te steunen, waarbij compromittering van de compiler of het build-gereedschap kan leiden tot verborgen backdoors.
Bij het samenstellen van reproduceerbare builds worden nuancezaken in overweging genomen, zoals de exacte overeenstemming van afhankelijkheden, het gebruik van onveranderde samenstellingen en versies van het build-gereedschap, een identieke set van opties en standaardinstellingen, behoud van de volgorde waarin bestanden worden opgebouwd (toepassing van dezelfde sorteermethoden), en uitschakeling van het toevoegen door de compiler van niet-vaste informatie, zoals willekeurige waarden, verwijzingen naar bestandspaden en gegevens over datum en tijd van de build. De reproduceerbaarheid van builds wordt ook beĆÆnvloed door fouten en racecondities in het gereedschap.
Bron: opennet.ru
