Възможността за предлагане на възпроизводими компилации в Linux е белег за прозрачност и сигурност , върху които няколко дистрибуции работят в момента и които други вече предлагат.
Значението на това се състои във факта, че позволява на разработчици, изследователи и потребители да проверят дали разпределеният двоичен файл е създаден правилно от предоставения изходен код и не е бил променян.
След като се консултираме с документацията на Linux, можем да разберем, че:
Като цяло е желателно изграждането на същия изходен код със същия набор от инструменти да е възпроизводимо, тоест резултатът винаги да е абсолютно същият. Това дава възможност да се провери дали инфраструктурата за изграждане на двоична дистрибуция или вградена система не е била подкопана. Това също може да улесни проверката, че промяната на източника или инструмента няма значение за получените двоични файлове.
И в случая с Linux, и като цяло с целия софтуер с отворен код, възпроизводимите компилации са от съществено значение, за да се гарантира, че общността може да проверява и одитира софтуера , както и да открива злонамерени промени.
openSUSE Factory вече предлага възпроизводими компилации бит по бит
Причината да се спомене това е, че проектът openSUSE е въвел поддръжка за бит-по-битови възпроизводими компилации в своето хранилище openSUSE Factory , което е основата за дистрибуцията openSUSE Tumbleweed.
Тази актуализация гарантира, че двоичните файлове, разпространявани в пакетите, се генерират последователно от предоставения изходен код, без да се включват скрити промени. Както бе споменато, предимството на това е, че всеки потребител може сам да провери дали предложените компилации съвпадат точно с компилациите, генерирани от изходния код.
Скорошен пример е, че възпроизводимите компилации позволяват създаването на доказателство, просто чрез повторно изграждане и сравняване на резултата, че GCC компилация, чийто източник е бил изтеглен с ангажиран xz, не е бил ангажиран; Този процес беше осъществен без необходимост от обратно инженерство как е възникнал компромисът. По подобен начин се съобщава, че възпроизводимите компилации са полезни по време на разследванията на компромиса xz
Възпроизводимите компилации се постигат чрез отчитане на детайли като точността на зависимостите , използването на едни и същи версии и конфигурации на инструментите за компилация, идентичен набор от опции и настройки по подразбиране, запазване на реда на файловете в компилацията (чрез последователни методи за сортиране) и деактивиране на добавянето на временна информация от компилатора, като например случайни стойности, препратки към файлови пътища и подробности за датата и часа на компилация.
Възможността за проверка на двоичен файл осигурява допълнителен слой сигурност, като не се разчита единствено на доверие в инфраструктурата на компилатора. Това е от решаващо значение, защото компрометирането на компилатора или инструментите за изграждане може да доведе до вмъкване на злонамерени елементи или скрити промени в получените двоични файлове.
Например, разработчиците на openSUSE използваха повтарящи се компилации, за да гарантират целостта на двоичните файлове след добре познатия инцидент със задна врата, открит в пакета xz . В този случай компрометираната библиотека liblzma, използвана за декомпресиране на файлове, съдържащи GCC код, може да е въвела злонамерени промени в GCC кода, което от своя страна може да повлияе на сглобените приложения.
Важно е да се отбележи, че фабричното хранилище не е предназначено за крайни потребители, а предимно за разработчици на разпространение. Това е така, защото неговата стабилност не е гарантирана по всяко време.
Пакетите, добавени към Factory, преминават през автоматизирано тестване с помощта на openQA. След като тези тестове са завършени и последователността на състоянието на зависимост е проверена, съдържанието на хранилището се синхронизира с огледалата няколко пъти седмично. Крайният резултат от този процес е пуснат като openSUSE Tumbleweed, което е стабилната и надеждна дистрибуция, която крайните потребители могат да използват с увереност.
Ако се интересувате да научите повече , можете да намерите подробности на следния линк.