Rebuilderd är tillgängligt för oberoende verifiering av Arch Linux genom upprepade byggen

Presenteras verktyg rebuilderd, vilket möjliggör oberoende verifiering av binära paket från distributionen genom att implementera en kontinuerligt fungerande byggprocess som kontrollerar de nedladdade paketen med de som erhålls genom ombyggnad på det lokala systemet. Verktyget är skrivet i Rust och distribueras under GPLv3-licensen.

För närvarande finns endast experimentellt stöd för paketverifiering från Arch Linux i rebuilderd, men snart lovas stöd för Debian. I enklaste fall, för att köra rebuilderd är tillräcklig installera paketet rebuilderd från standardförrådet, importera GPG-nyckeln för att kontrollera miljön och aktivera motsvarande systemtjänst. Det är möjligt att distribuera ett nätverk av flera instanser av rebuilderd.

Tjänsten övervakar statusen för paketindexet och startar automatiskt ombyggnaden av nya paket i en referensmiljö vars status är synkroniserad med inställningarna för den huvudsakliga byggmiljön i Arch Linux. Vid ombyggnad beaktas detaljer såsom exakt överensstämmelse av beroenden, användning av oförändrad uppsättning och versioner av byggverktyg, identisk uppsättning av alternativ och standardinställningar, och bevarande av ordningen på filerna (tillämpning av samma sorteringsmetoder). Inställningarna för byggprocessen utesluter tillägg av oförutsägbar hjälpinformation från kompilatorn, såsom slumpmässiga värden, referenser till filvägar och data om byggdatum och tid.

För närvarande är repeterbara byggningar säkrade för 84,1 % av paketen i Arch Linuxs core-förråd, 83,8 % i extras-förrådet och 76,9 % i community-förrådet. Jämförande uppgifter för Debian 10 visar att denna siffra är är 94,1 %. Repeterbara byggningar är en viktig del av säkerhetsgarantin, eftersom de ger alla användare möjlighet att verifiera att de paketbyggnader som erbjuder distributionen är byte-för-byte identiska med de som personligen byggts från källkoden. Utan möjlighet att verifiera identiteten hos en binär byggnad måste användaren blint lita på andras bygginfrastruktur, vars kompilator eller byggverktyg kan ha komprometterats, vilket kan leda till insättning av dolda bakdörrar.

Källa: opennet.ru