Razvijalci distribucije openSUSE so poročali o uspehih projekta za zagotovitev podpore ponovljivim gradnjam. V okviru projekta je bil pripravljen konceptualni fork distribucije Reproducible-openSUSE (RBOS), za katerega je bila dosežena možnost gradnje 100% identičnih binarnih paketov na podlagi ponujenega repozitorija z izvorno kodo, ki obsega 3300 paketov. V postopku dela na projektu je bilo pripravljenih približno 40 popravkov (1, 2, 3), ki rešujejo težave s ponovnim gradnji paketov. Približno polovica teh popravkov je že bila posredovana v upstream projekte. Gradnje Reproducible-openSUSE so trenutno namenjene le testiranju in niso priporočljive za uporabo v produkcijskih sistemih, saj zanje ne nastajajo posodobitve za odpravo ranljivosti.
Projekt omogoča uporabniku, da oblikuje lastne gradnje, ki se bitno ujemajo s ponujenimi za prenos pripravljenimi gradnjami, da bi se prepričal, da so binarni datoteki, ki se distribuirajo v paketih, zgrajeni iz ponujenih izvornih kod in ne vsebujejo skritih sprememb. Možnost preveritve identičnosti binarne gradnje omogoča, da se ne zanašamo le na zaupanje do gradbene infrastrukture distribucije, saj lahko kompromitacija kompajlerja ali gradbenega orodja privede do vstavljanja skritih zakladov.
Pri oblikovanju ponovljivih gradnj se upoštevajo takšni vidiki, kot so natančno ujemanje odvisnosti, uporaba nespremenjenega sklada in različic gradbenih orodij, identična izbira možnosti in privzetih nastavitev, ohranjanje reda gradnje datotek (uporaba istih metod razvrščanja), onemogočanje dodajanja spremenljivih informacij s strani kompajlerja, kot so naključne vrednosti, sklici na datotečne poti in podatki o datumu in času gradnje. Na reproducibilnost gradnji vplivajo tudi napake in stanja dirke v orodjih.
Izvor: opennet.ru
