Deweloperzy dystrybucji openSUSE poinformowali o postępach w projekcie zapewniającym wsparcie dla powtarzalnych kompilacji. W ramach projektu stworzono koncepcyjny fork dystrybucji Reproducible-openSUSE (RBOS), dla którego osiągnięto możliwość kompilacji 100% identycznych pakietów binarnych na podstawie oferowanego repozytorium ze źródłami, obejmującego 3300 pakietów. W trakcie pracy nad projektem przygotowano około 40 poprawek (1, 2, 3), rozwiązujących problemy z powtarzalnym przetwarzaniem pakietów. Około połowa tych poprawek została już przekazana do projektów upstream. Kompilacje Reproducible-openSUSE są obecnie przeznaczone tylko do testów i nie są zalecane do użytku w systemach produkcyjnych, ponieważ dla nich nie są tworzone aktualizacje usuwające luki w zabezpieczeniach.
Projekt umożliwia użytkownikowi stworzenie własnych kompilacji, bit po bicie identycznych z oferowanymi do pobrania gotowymi kompilacjami, aby upewnić się, że rozpowszechniane w pakietach pliki binarne zostały skompilowane z dostarczonych źródeł i nie zawierają ukrytych zmian. Możliwość weryfikacji tożsamości binarnej kompilacji pozwala na niezależne zaufanie do infrastruktury kompilacji dystrybucji, której kompromitacja kompilatora lub narzędzi do kompilacji może prowadzić do wprowadzenia ukrytych zakładek.
Podczas tworzenia powtarzalnych kompilacji uwzględniane są takie aspekty, jak dokładne dopasowanie zależności, użycie niezmienionego zestawu oraz wersji narzędzi do kompilacji, identyczny zestaw opcji i ustawień domyślnych, zachowanie kolejności kompilacji plików (stosowanie tych samych metod sortowania), wyłączenie dodawania przez kompilator zmiennej informacji pomocniczej, takiej jak losowe wartości, odniesienia do ścieżek plików oraz dane o dacie i godzinie kompilacji. Na powtarzalność kompilacji wpływają również błędy i stany wyścigu w narzędziach.
Źródło: opennet.ru
