Programiści projektu openSUSE ogłosili zapewnienie wsparcia dla powtarzalnych kompilacji w repozytorium openSUSE Factory, które stosuje model ciągłego cyklu aktualizacji wersji oprogramowania (rolling updates) i służy jako podstawa do budowy dystrybucji openSUSE Tumbleweed. Konfiguracja kompilacji openSUSE Factory teraz pozwala upewnić się, że rozpowszechniane w pakietach pliki binarne są zbudowane z dostarczonych źródeł i nie zawierają ukrytych zmian. Na przykład każdy użytkownik może osobiście sprawdzić, że oferowane kompilacje są zgodne z tymi, które zostały zbudowane osobiście z źródeł.
Przy tworzeniu powtarzalnych kompilacji brane są pod uwagę takie kwestie, jak dokładne spełnienie zależności, użycie niezmienionego składu i wersji narzędzi kompilacyjnych, identyczny zestaw opcji i ustawień domyślnych, zachowanie kolejności kompilacji plików (stosowanie tych samych metod sortowania), wyłączenie dodawania przez kompilator zmiennej informacji pomocniczej, takiej jak losowe wartości, odniesienia do ścieżek plików oraz dane o dacie i czasie kompilacji.
Możliwość weryfikacji tożsamości binarnej kompilacji pozwala nie polegać jedynie na zaufaniu do infrastruktury kompilacji, której kompromitacja może prowadzić do wprowadzenia ukrytych wtyczek. Na przykład powtarzalne kompilacje były stosowane przez programistów openSUSE w celu wykluczenia szkodliwych modyfikacji, które mogły pojawić się w repozytorium w wyniku incydentu z dodaniem backdoora do pakietu xz (skomprymowana biblioteka liblzma, wykorzystywana do rozpakowywania archiwum z kodem GCC, potencjalnie mogła wprowadzić do kodu GCC zmiany, które mogły być wykorzystywane do wstawiania szkodliwych elementów do kompilowanych aplikacji).
Repozytorium Factory nie jest przeznaczone dla użytkowników końcowych i jest głównie używane przez programistów dystrybucji, ponieważ jego stabilność nie jest gwarantowana w żadnym momencie. Systemowe pakiety dodawane do Factory przechodzą automatyczne testy za pomocą narzędzi openQA. Po zakończeniu testów i sprawdzeniu spójnego stanu zależności kilka razy w tygodniu zawartość repozytorium jest przesyłana na lustra, a utworzony zrzut stanu jest publikowany jako openSUSE Tumbleweed.
Źródło: opennet.ru
