负责制定版本发布的团队 Debian宣布将可复现的软件包重建功能升级为强制性功能。昨天，构建系统进行了更改，阻止向代码仓库添加不支持可复现构建的新软件包。测试代码仓库也阻止更新已被发现存在构建可复现性问题的现有软件包。
В Debian 版本 13 包含 36427 个源代码包，对 x86_64 架构的可重复构建支持率为 96.9%，对 ARM64 架构的可重复构建支持率为 96.8%。在存储库中 Debian 测试结果显示，在重新构建 37809 个源代码包时，ARM64 架构的重复性估计值为 94.5%，x86_64 架构的重复性估计值为 75.7%。仓库重复性测试 Debian 测试失败的软件包有 1141 个（3%），从源代码编译时存在一般性问题。
可复现构建功能允许用户创建与可供下载的预构建版本完全相同的自定义构建版本。用户可以亲自验证软件包和启动镜像中分发的二进制文件是否由提供的源代码构建，并且不包含任何隐藏的修改。验证二进制构建版本的身份消除了对发行版构建基础架构的完全依赖，避免了编译器或构建工具集被篡改后可能导致隐藏后门的植入。
在形成可重复的组件时，会考虑到依赖关系的精确匹配等细微差别；使用未改变的组成和版本的汇编工具；相同的选项和默认设置；保持文件收集的顺序（使用相同的排序方法）；禁止编译器添加易失性服务信息，例如随机值、文件路径引用以及构建日期和时间信息。构建可重复性也会受到工具链中的错误和竞争条件的影响。
来源： opennet.ru
