Stöd för reproducerbara byggen har implementerats i openSUSE Factory.

Utvecklarna av openSUSE-projektet har meddelat att de stödjer reproducerbara byggen i openSUSE Factory-repositoriet, som använder en modell för kontinuerlig versionsuppdatering (rolling-updates) och är grunden för distributionen openSUSE Tumbleweed. Byggkonfigurationen för openSUSE Factory gör det nu möjligt att säkerställa att de binära filer som distribueras i paketen har byggts från de medföljande källkoderna och inte innehåller dolda ändringar. Till exempel kan vilken användare som helst personligen verifiera att de erbjudna byggena bit för bit överensstämmer med de byggen som byggts personligen från källkoderna.

Vid skapandet av reproducerbara byggen beaktas sådana aspekter som exakt överensstämmelse av beroenden, användning av oförändrat innehåll och versioner av byggverktyg, en identisk uppsättning alternativ och standardinställningar, bevarande av filernas byggorder (användning av samma sorteringsmetoder), avstängning av tillsats av oförutsägbar hjälpinformation av kompilatorn, såsom slumpmässiga värden, referenser till filvägar och data om datum och tid för bygget.

Möjligheten att verifiera identiteten hos den binära byggnaden gör att man inte bara kan förlita sig på förtroendet för bygginfrastrukturen, vars kompromettering av kompilatorn eller byggverktyg kan leda till inbäddning av dolda bakdörrar. Till exempel har reproducerbara byggen använts av openSUSE-utvecklarna för att utesluta skadliga modifieringar som kan ha dykt upp i repositoriet som ett resultat av ett incident där en bakdörr lades till i paketet xz (den komprometterade bibliotek liblzma, som användes för att packa upp arkivet med GCC-koden, kunde potentiellt ha åstadkommit förändringar i GCC-koden, som skulle kunna användas för att införa skadliga komponenter i de byggda applikationerna).

Factory-repository är inte avsett för slutanvändare och används främst av distributionsutvecklare, då stabilitet inte garanteras vid något givet tillfälle. Systempaketen som läggs till i Factory genomgår automatiserad testning med hjälp av openQA-verktyg. Efter att testningen och kontrollen av beroenden har avslutats, släpps innehållet i repot på speglar flera gånger i veckan och den genererade tillståndsklippningen publiceras som openSUSE Tumbleweed.

Källa: opennet.ru