De FreeBSD Foundation heeft de implementatie van ondersteuning voor reproduceerbare builds aangekondigd, waarmee kan worden gegarandeerd dat de verspreide binaire bestanden zijn samengesteld uit de aangeboden broncode en geen verborgen wijzigingen bevatten. Tegelijkertijd werd aangekondigd dat er mogelijkheden worden geboden voor het bouwen van FreeBSD in niet-geprivilegieerde omgevingen, die geen root-rechten vereisen. Het verwijderen van componenten die tijdens de bouw met root-rechten worden uitgevoerd, zal de veiligheid van de infrastructuur voor het genereren van releases van FreeBSD verhogen, de aanvalsoppervlakte van de bouwomgeving verkleinen en het organiseren van geautomatiseerde builds vergemakkelijken.
In de bouwfase waren root-rechten nodig om apparaatsbestanden te maken, toegangsmachtigingen in te stellen en aanvullende bestandssystemen te monteren (zoals bij het maken van schijfimages). Wijzigingen om dergelijke handelingen te vervangen door operaties die geen root-rechten vereisen, zijn toegevoegd aan de experimentele tak van FreeBSD, maar zullen later worden overgebracht naar de tak waarop de release van FreeBSD 15.0 is gebaseerd. Naast het bouwen van de release uit de broncode, kunnen nu ook artefacten zoals iso-images voor het creƫren van installatie- en opstart Flash-drives, systeemimages worden gemaakt zonder root-rechten. virtuele machines en cloudplatforms.
Wat betreft reproduceerbare builds, deze maken het mogelijk om identieke binaire bestanden te verkrijgen die uit de broncode in verschillende bouwomgevingen zijn gevormd. Iedereen kan nu persoonlijk verifiƫren dat de verspreide binaire bestanden zijn samengesteld uit de aangeboden bronbestanden, zonder zich alleen te verlaten op het vertrouwen in de bouwinfrastructuur van het project, waarvan de compromittering van de compiler of de bouwtools kan leiden tot de invoering van verborgen achterdeurtjes.
Bij het vormen van reproduceerbare builds wordt rekening gehouden met nuances zoals de exacte overeenstemming van afhankelijkheden; het gebruik van een onveranderlijke set en versies van de build-tooling; een identieke set opties en standaardinstellingen; het behoud van de opbouwvolgorde van bestanden (het toepassen van dezelfde sorteermethoden); het uitschakelen van het toevoegen van onbetrouwbare metadata door de compiler, zoals willekeurige waarden, verwijzingen naar bestandslocaties en timestamp-gegevens van de build. Bugs en racecondities in de tooling kunnen ook invloed hebben op de reproduceerbaarheid van builds.
Bron: opennet.ru
