Dezvoltatorii proiectului openSUSE au anunțat asigurarea suportului pentru construcții repetabile în repository-ul openSUSE Factory, care aplică modelul de actualizare continuă a versiunilor software (actualizări rolling) și servește ca bază pentru construirea distribuției openSUSE Tumbleweed. Configurația de construire openSUSE Factory permite acum verificarea faptului că fișierele binare distribuite în pachete sunt compilate din coduri sursă furnizate și nu conțin modificări ascunse. De exemplu, orice utilizator poate verifica personal că construcțiile oferite corespund bit cu bit cu construcțiile compilate direct din codurile sursă.
În formarea construcțiilor repetabile, se iau în considerare detalii precum conformitatea exactă a dependențelor, utilizarea unui set neschimbat de instrumente de construire și versiuni, un set identic de opțiuni și setări implicite, păstrarea ordinii fișierelor de construire (aplicarea acelorași metode de sortare), dezactivarea adăugării de informații auxiliare variabile de către compilator, cum ar fi valori aleatorii, referințe la căile fișierelor și datele despre ora și data construirii.
Capacitatea de a verifica identitatea unei construcții binare permite să nu ne bazăm doar pe încrederea în infrastructura de construire, compromiterea compilatorului sau a instrumentelor de construire putând duce la introducerea de backdoor-uri ascunse. De exemplu, construcțiile repetabile au fost utilizate de dezvoltatorii openSUSE pentru a exclude modificările malițioase care ar putea apărea în repository ca rezultat al unui incident în care a fost adăugat un backdoor în pachetul xz (biblioteca compromisă liblzma, utilizată pentru desfășurarea arhivelor cu codul GCC, ar fi putut introduce modificări în codul GCC care ar putea fi utilizate pentru a introduce elemente malițioase în aplicațiile compilate).
Repository-ul Factory nu este destinat utilizatorilor finali și este folosit în principal de dezvoltatorii distribuției, deoarece stabilitatea acestuia nu este garantată în orice moment. Pachetele de sistem adăugate în Factory trec prin teste automatizate utilizând instrumentele openQA. După finalizarea testării și verificarea unui stadiu coerent al dependențelor, conținutul repository-ului este actualizat pe oglinzi de câteva ori pe săptămână, iar instantaneele generate sunt publicate ca openSUSE Tumbleweed.
Sursa: opennet.ro
