Корпорации профинансируют обеспечение повторяемых сборок пакетов в дистрибутивах
Учрежденный под эгидой организации Linux Foundation фонд Core Infrastructure Initiative (CII), в рамках которого ведущие корпорации объединили свои усилия по поддержке открытых проектов, задействованных в ключевых областях компьютерной индустрии, объявил о предоставлении дополнительного финансирования для проекта, занимающегося обеспечением повторяемых сборок пакетов. В дополнение к прошлогоднему гранту в размере 200 тысяч долларов, Фонд профинансирует работу над повторяемыми сборками пяти разработчиков Debian (Chris Lamb, Mattia Rizzolo, Ximin Luo, Vagrant Cascadian, Holger Levsen) и одного разработчика FreeBSD (Ed Maste).
Повторяемые сборки пакетов дадут пользователю возможность подтвердить, что исполняемый файл собран именно из заявленных исходных текстов и не содержит посторонних закладок, которые, например, могут быть интегрированы в результате использования пораженного в результате атаки компилятора или сборочного инструментария. Главным образом, различия при сборке одного и того же кода на разных системах вызваны непостоянством состава сборочного окружения и добавлением в файл меняющейся во времени служебной информации, такой как данные о дате сборки.
Для обеспечения повторяемости необходимо полностью воссоздать эталонное сборочное окружение, использовать те же версии сборочного инструментария, идентичный набор опций и настроек по умолчанию, применять те же методы сортировки списков файлов. Несмотря на то, что проект развивается для Debian, к его разработке привлечены представители различных дистрибутивов и операционных систем, включая FreeBSD, NetBSD, Fedora, Ubuntu, OpenWrt, openSUSE и Arch Linux.
