A organização FreeBSD Foundation anunciou a implementação de suporte a compilações reproduzíveis, permitindo garantir que os arquivos binários distribuídos sejam gerados a partir do código-fonte fornecido e não contenham alterações ocultas. Ao mesmo tempo, foi anunciado que será possível compilar o FreeBSD em ambientes não privilegiados, que não exigem permissões de root. A eliminação de componentes executados durante a compilação com permissões de root aumentará a segurança da infraestrutura para a geração de lançamentos do FreeBSD, reduzirá a superfície de ataque do ambiente de compilação e facilitará a organização de compilações automatizadas.
Na fase de compilação, as permissões de root eram necessárias para criar arquivos de dispositivos, definir permissões de acesso e montar sistemas de arquivos adicionais (por exemplo, ao criar imagens de disco). As alterações para substituir tais ações por operações que não requerem permissões de root foram adicionadas ao ramo experimental do FreeBSD, mas serão transferidas posteriormente para a ramificação com base na qual o lançamento do FreeBSD 15.0 é formado. Além de compilar o lançamento a partir do código-fonte, agora também podem ser criados, sem permissões de root, artefatos como imagens iso para criar discos de instalação e inicialização em Flash, bem como imagens do sistema para máquinas virtuais e plataformas em nuvem.
No que diz respeito às compilações reproduzíveis, elas permitem alcançar a identidade dos arquivos binários gerados a partir do código-fonte em diferentes ambientes de compilação. Qualquer pessoa agora pode verificar pessoalmente que os arquivos binários distribuídos são gerados a partir dos textos-fonte fornecidos, sem depender apenas da confiança na infraestrutura de compilação do projeto, uma vez que a compromização do compilador ou das ferramentas de compilação pode levar à inserção de backdoors ocultas.
Ao formar construções reproduzíveis, consideram-se detalhes como a correspondência exata das dependências; o uso de composições e versões imutáveis das ferramentas de compilação; um conjunto idêntico de opções e configurações padrão; a preservação da ordem de compilação dos arquivos (aplicação dos mesmos métodos de ordenação); a desativação da adição de informações de serviço não persistentes pelo compilador, como valores aleatórios, referências a caminhos de arquivos e dados sobre a data e o horário da compilação. Erros e condições de corrida nas ferramentas também influenciam a reproduzibilidade das compilações.
Fonte: opennet.ru
