Os desenvolvedores da distribuição openSUSE relataram os avanços do projeto para garantir suporte a compilações reproduzíveis. No âmbito do projeto, foi preparado um fork conceitual da distribuição Reproducible-openSUSE (RBOS), para o qual foi atingida a capacidade de compilar 100% de pacotes binários idênticos com base no repositório proposto de códigos fonte, que contém 3300 pacotes. Durante o trabalho no projeto, cerca de 40 patches (1, 2, 3) foram preparados para resolver problemas de recompilação reproduzível de pacotes. Aproximadamente metade desses patches já foi enviada para projetos upstream. As compilações do Reproducible-openSUSE são atualmente destinadas apenas para testes e não são recomendadas para uso em sistemas produtivos, uma vez que não são geradas atualizações para correção de vulnerabilidades.
O projeto permite ao usuário criar suas próprias compilações, byte a byte idênticas às compilações prontas disponíveis para download, para garantir que os arquivos binários distribuídos em pacotes sejam construídos a partir dos códigos fonte fornecidos e não contenham alterações ocultas. A possibilidade de verificar a identidade da compilação binária permite não se basear apenas na confiança na infraestrutura de compilação da distribuição, cuja comprometimento do compilador ou dos ferramentas de compilação pode levar à inserção de backdoors ocultos.
Na formação de compilações reproduzíveis, são considerados detalhes como a correspondência exata de dependências, uso de composições e versões imutáveis das ferramentas de compilação, conjunto idêntico de opções e configurações padrão, manutenção da ordem de construção de arquivos (aplicação dos mesmos métodos de classificação), desativação da adição de informações auxiliares não constantes pelo compilador, como valores aleatórios, referências a caminhos de arquivos e dados sobre a data e hora da compilação. A reprodutibilidade das compilações também é influenciada por erros e condições de corrida nas ferramentas.
Fonte: opennet.ru
