Zhvilluesit e projektit openSUSE njoftuan sigurimin e mbështetjes për grumbullime të përsëritshme në repositorin openSUSE Factory, i cili përdor modelin e ciklit të vazhdueshëm të azhurnimeve të versioneve (rolling-updates) dhe shërben si baza për ndërtimin e distribuimit openSUSE Tumbleweed. Konfigurimi i grumbullimit openSUSE Factory tani lejon të sigurohet që skedarët binarë të shpërndarë në paketa janë ndërtuar nga burimet e ofruara dhe nuk përmbajnë ndryshime të fshehta. Për shembull, çdo përdorues mund të verifikojë personalisht që grumbullimet e propozuara janë identike me grumbullimet e ndërtuara nga burimet e tyre.
Në formimin e grumbullimeve të përsëritshme merren parasysh detaje të tilla si përputhshmëria e saktë e varësive, përdorimi i një composition dhe versionesh të pandryshueshme të mjetit të grumbullimit, një grup identik opsionesh dhe konfigurimesh të paracaktuara, ruajtja e rendit të grumbullimit të skedarëve (përdorimi i të njëjtave metoda renditjeje), çaktivizimi i shtimit të informacionit të rastësishëm nga kompajleri, siç janë vlerat rastësore, lidhjet në rrugët e skedarëve dhe të dhënat për datën dhe orën e grumbullimit.
Mundësia për të verifikuar identitetin e grumbullimit binar lejon që të mos mbështetemi vetëm në besimin tek infrastruktura e grumbullimit, kompromitimi i kompajlerit ose mjetit të grumbullimit me të cilin mund të çojë në futjen e blloqeve të fshehta. Për shembull, grumbullimet e përsëritshme janë përdorur nga zhvilluesit e openSUSE për të përjashtuar modifikimet e dëmshme që mund të ishin shfaqur në repositorin si rezultat i një incidenti me shtimin e një backdoori në paketën xz (biblioteka e komprometuar liblzma, e përdorur për nxjerrjen e arkivit të kodit GCC, mund të kishte bërë ndryshime në kodin GCC që mund të përdoren për futjen e elementeve të dëmshme në aplikacionet e ndërtuara).
Repozytori Factory nuk është i destinuar për përdoruesit përfundimtarë dhe përdoret kryesisht nga zhvilluesit e shpërndarjes, pasi nuk garanton stabilitet në çdo moment. Paketat sistemike të shtuar në Factory kalojnë teste automatizimi me ndihmën e mjetit openQA. Pas përfundimit të testimit dhe kontrollit të gjendjes së pandërprerë të varësive, për disa herë në javë përmbajtja e repozytorit dërgohet në pasqyra dhe një skenë e formuar e gjendjes publikohet si openSUSE Tumbleweed.
Burimi: opennet.ru
