A distribuição Arch Linux forneceu uma construção reproduzível de imagens de contêineres, permitindo verificar se os arquivos binários fornecidos na imagem foram compilados a partir do código-fonte disponibilizado e não contêm alterações ocultas. Imagens reproduzíveis do Arch Linux estão disponíveis no Docker Hub com a etiqueta repro. Qualquer pessoa pode construir uma imagem de contêiner bit a bit correspondente às imagens prontas distribuídas pelo projeto e verificar se a infraestrutura de compilação da distribuição, o compilador e as ferramentas de compilação não foram comprometidos.
Ao formar construções reproduzíveis, consideram-se detalhes como a correspondência exata das dependências; o uso de composições e versões imutáveis das ferramentas de compilação; um conjunto idêntico de opções e configurações padrão; a preservação da ordem de compilação dos arquivos (aplicação dos mesmos métodos de ordenação); a desativação da adição de informações de serviço não persistentes pelo compilador, como valores aleatórios, referências a caminhos de arquivos e dados sobre a data e o horário da compilação. Erros e condições de corrida nas ferramentas também influenciam a reproduzibilidade das compilações.
As imagens reproduzíveis são fornecidas separadamente pois, para garantir total reproduzibilidade, elas não incluem as chaves para o gerenciador de pacotes pacman. Em caso de necessidade de atualização ou instalação de pacotes através do pacman, é necessário executar o comando para recriar o repositório de chaves (‘pacman-key —init && pacman-key —populate archlinux’). Para verificar a identidade da sua própria construção em comparação com a imagem distribuída através do Docker Hub, pode-se comparar os hashes gerados pelo comando ‘podman inspect —format ‘{{.Digest}}’ ’, ou utilizar a ferramenta diffoci.
Fonte: opennet.ru
