Godkänna garantin för reproducerbara byggnader i Fedora 43

FESCo-kommittén (Fedora Engineering Steering Committee), som ansvarar för den tekniska delen av utvecklingen av Fedora Linux-distributionen, har godkänt ett projekt för att säkerställa reproducerbara paketbyggen i den höstlansering av Fedora 43. Målet med initiativet är att möjliggöra reproducerbara byggen för minst 99% av paketen i förrådet.

Reproducerbara byggen ger möjlighet att skapa egna RPM-paket som överensstämmer med de färdiga binärpaket som erbjuds för nedladdning. Överensstämmelsen säkerställs på nivåerna av grundmetadata och inkluderade filer i paketet (endast metadata om byggtid, byggvärd och verifiering med digital signatur kommer att skilja sig). Användaren kommer personligen kunna försäkra sig om att de distribuerade binärfilerna i paketen är skapade från de tillhandahållna källkoderna och inte innehåller dolda ändringar. Kontroll av identiteten hos den binära byggnaden möjliggör att man inte enbart måste lita på förtroendet för distributions infrastrukturer, där kompromiss av kompilator eller byggverktyg kan leda till insättning av dolda bakdörrar.

Förutom säkerhet kommer reproducerbara byggen också vara användbara för kvalitetssäkring - problem vid försök att uppnå reproducerbara byggen orsakas ofta av fel eller ordning i koden, till exempel användning av paket som märkts som "noarch", där beroenden är kopplade till specifika hårdvaruarkitekturer. Reproducerbara byggen förenklar också paketutvecklingen - efter mindre ändringar kommer de ombyggda paketen endast att skilja sig genom de element som är direkt relaterade till den gjorda ändringen, vilket avsevärt förenklar jämförelsen av paketen och analysen av förändringar.

Vid skapandet av reproducerbara byggen beaktas faktorer som exakt överensstämmelse med beroenden; användning av en oförändrad uppsättning och versioner av byggverktyg; en identisk uppsättning alternativ och standardinställningar; bevarande av filernas byggordning (användning av samma sorteringsmetoder); avaktivering av kompilatorn för att lägga till flyktig informationsdata, såsom slumpmässiga värden, filvägsreferenser och datum- och tidsinformation för byggandet. Reproducerbarheten av byggen påverkas också av fel och race conditions i verktygen.

Projektinfrastrukturen för Fedora är redan förberedd för att möjliggöra reproducerbara byggen. Till exempel har det skett ändringar i byggsystemet i tidigare utgåvor som synkroniserar metadata om filernas modifieringstid med referenskoden (mtime beror nu inte på byggtid) och som också säkerställer en konsekvent ordning för uppräkningen av metadata och strukturer i binära filer. För närvarande uppskattas täckningen av reproducerbara byggen till 90%. För att säkerställa reproducerbara byggen i de återstående 10% krävs engagemang från underhållare av problematiska paket. För att uppmuntra till rättelse av sådana paket, avser man att betrakta misslyckanden vid reproducerbara byggen som byggfel.

Liknande projekt för att stödja reproducerbara byggen utvecklar även distributioner som Debian, Arch Linux, openSUSE och NixOS.

Källa: opennet.ru