Zespół odpowiedzialny za tworzenie wydań Debian ogłosił, że wprowadzenie reprodukowalnych przynajmniej przebrań pakietów stanie się obowiązkowym wymogiem. Wczoraj w systemie budowania wprowadzono zmiany, które blokują przesyłanie nowych pakietów, które nie wspierają reprodukowalnego budowania, do repozytorium. W repozytorium Testing również zabronione jest aktualizowanie istniejących pakietów, w których wykryto regresje związane z reprodukowalnością budowy.
W Debianie 13, który zawiera 36427 pakietów źródłowych, poziom wsparcia dla powtarzalnych budów wynosi 96,9% dla architektury x86_64 i 96,8% dla architektury ARM64. W repozytoriach Debian Testing poziom reprodukowalnych budów oceniono na 94,5% dla architektury ARM64 i 75,7% dla x86_64 przy przebudowie 37809 pakietów źródłowych. Test reprodukowalności budowy w repozytorium Debian Testing nie przeszedł dla 1141 pakietu (3%), a 7952 pakiety (21%) miały ogólne problemy podczas kompilacji z kodu źródłowego.
Reprodukowalne budowy umożliwiają użytkownikowi tworzenie własnych budów, które bit po bicie zgadzają się z oferowanymi do pobrania gotowymi budowami. Użytkownik ma możliwość osobistego zweryfikowania, że binarne pliki rozpowszechniane w pakietach i obrazach do pobrania zostały skompilowane z dostarczonych tekstów źródłowych i nie zawierają ukrytych zmian. Weryfikacja tożsamości binarnej budowy pozwala nie polegać jedynie na zaufaniu do infrastruktury budującej dystrybucji, której kompromitacja kompilatora lub narzędzi budowlanych może prowadzić do wprowadzenia ukrytych backdoorów.
Podczas formowania powtarzalnych budów uwzględniane są takie niuanse, jak dokładne dopasowanie zależności; użycie niezmiennego zestawu i wersji narzędzi budowlanych; identyczny zestaw opcji i ustawień domyślnych; zachowanie kolejności budowy plików (stosowanie tych samych metod sortowania); wyłączenie dodawania przez kompilator nieprzewidywalnych informacji pomocniczych, takich jak losowe wartości, odniesienia do ścieżek plików oraz dane o dacie i czasie budowy. Na reprodukowalność budów wpływają również błędy i stany wyścigu w narzędziach budowlanych.
Źródło: opennet.ru
