nástroj , ktorý umožňuje nezávislé overenie binárnych balíkov distribúcie prostredníctvom nasadenia nepretržitého procesu zostavovania, ktorý porovnáva sťahované balíky s balíkmi získanými výsledkom prekompilovania na lokálnom systéme. Nástroj je napísaný v jazyku Rust a je distribuovaný pod licenciou GPLv3.
V súčasnosti rebuilderd podporuje iba experimentálne overenie balíkov z Arch Linux, no čoskoro sľubujú pridať aj podporu pre Debian. Na najjednoduchšie spustenie rebuilderd je potrebné nainštalovať balík rebuilderd z predvoleného repozitára, importovať GPG kľúč na overenie prostredia a aktivovať príslušnú systémovú službu. Je možné rozvinúť sieť z viacerých inštancií rebuilderd.
Služba sleduje stav indexu balíkov a automaticky spúšta prekompiláciu nových balíkov v referenčnom prostredí, ktorého stav je synchronizovaný s nastaveniami základného zostavovacieho prostredia Arch Linux. Pri prekompilácii sa zohľadňujú také nuansy, ako presná zhoda závislostí, použitie nemenného zloženia a verzií zostavovacieho nástroja, identická sada volieb a nastavení predvolene, zachovanie poradia zostavovania súborov (aplikácia rovnakých metód triedenia). Nastavenia procesu zostavovania vylučujú pridávanie nepredvídateľných služobných informácií kompilátorom, ako sú náhodné hodnoty, odkazy na cestu k súborom a údaje o dátume a čase zostavenia.
V súčasnosti sú opakované zostavy pre 84.1% balíkov z core-repozitára Arch Linux, 83.8% z repozitára extras a 76.9% z repozitára community. Na porovnanie, v Debian 10 tento ukazovateľ 94.1%. Opakované zostavy sú dôležitým článkom zabezpečenia, pretože umožňujú akémukoľvek používateľovi uistiť sa, že ponúkané distribučné zostavy balíkov sú identické s zostavami, ktoré sa zostavili osobne z pôvodných textov. Bez možnosti overiť identitu binárnej zostavy je používateľ donútený slepo dôverovať cudzím zostavovacím infraštruktúram, ktorých kompromitácia kompilátora alebo zostavovacieho nástroja môže viesť k vloženiu skrytých zadných vrátok.
Zdroj: opennet.ru
