um conjunto de ferramentas , permitindo uma verificação independente de pacotes binários da distribuição através da implementação de um processo de construção contínua, que compara os pacotes baixados com os pacotes resultantes da reconstrução em um sistema local. A ferramenta é escrita na linguagem Rust e é distribuída sob a licença GPLv3.
Atualmente, o rebuilderd oferece apenas suporte experimental para verificação de pacotes do Arch Linux, mas em breve prometem adicionar suporte ao Debian. No caso mais simples, para iniciar o rebuilderd é necessário instalar o pacote rebuilderd do repositório padrão, importar a chave GPG para verificar o ambiente e ativar o serviço do sistema correspondente. É possível implantar uma rede de várias instâncias do rebuilderd.
O serviço monitora o estado do índice de pacotes e inicia automaticamente a reconstrução de novos pacotes em um ambiente de referência, cujo estado é sincronizado com as configurações do ambiente de construção principal do Arch Linux. Na reconstrução, são considerados detalhes como a correspondência exata das dependências, o uso de composições e versões imutáveis da ferramenta de construção, o conjunto idêntico de opções e configurações padrão, e a preservação da ordem de construção dos arquivos (aplicando os mesmos métodos de ordenação). As configurações do processo de construção excluem a adição de informações de serviço não determinísticas pelo compilador, como valores aleatórios, referências a caminhos de arquivo e dados sobre a data e hora da construção.
Atualmente, as reconstruções repetíveis para 84,1% dos pacotes do repositório core do Arch Linux, 83,8% do repositório extras e 76,9% do repositório community. Para comparação, no Debian 10 esse índice é de 94,1%. Reconstruções repetíveis são um elo importante para garantir a segurança, pois permitem que qualquer usuário verifique se as compilações de pacotes fornecidas pelo distribuidor correspondem byte a byte às compilações que foram construídas pessoalmente a partir dos códigos fonte. Sem a possibilidade de verificar a identidade da construção binária, o usuário deve confiar cegamente na infraestrutura de construção de terceiros, cuja comprometimento do compilador ou ferramenta de construção pode levar à inserção de backdoors ocultas.
Fonte: opennet.ru
