94 % zdrojových balíčků Debianu lze sestavit reprodukovatelně (diskuse)

[Lovrov]

A mohol by niekto napisat co to konkretne znamena ?

[rastos]

Zober si nejaký OSS program, ktorý používaš. Pravdepodobne si ho nekompiloval sám. Ale máš možnosť zohnať si zdrojáky. Ako vieš, či tie zdrojáky, čo si si zohnal (a ktoré možno prešli bezpečnostným auditom, ...) sú skutočne tie, z ktorých vznikla tá binárka? Reproducible builds znamená, že môžeš tie zdrojáky zobrať, skompilovať a dostaneš výsledok, ktorý je na bajt zhodný s tým, čo si predtým nainštaloval.

Laikovi to možno príde divné, ale bez istého úsilia, výsledkom dvoch kompilácií toho istého vstupu, (spravidla) nie je úplne rovnaký výstup.

[Vantomas]

Z binárek jsou třeba stripnutý informace o tom, kdo a kdy to buldil. Ale asi to nebude jediná věc. Taková reprodukovatelnost vyžaduje zvláštní přístup.

Všimnout si lze rozdílu třeba u kernelu:

Debian:

# uname -a
Linux server01 4.9.0-3-amd64 #1 SMP Debian 4.9.30-2+deb9u2 (2017-06-26) x86_64 GNU/Linux

Fedora:

$ uname -a
Linux tomova-bedynka 4.11.8-300.fc26.x86_64 #1 SMP Thu Jun 29 20:09:48 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux   

[Michal Kubeček]

Jen pro pořádek: to druhé neznamená automaticky, že ten build není reprodukovatelný. Třeba v openSUSE tam není timestamp, kdy proběhl build, ale timestamp commitu, ze kterého byl ten build provedený, takže když se provede znovu build ze stejných zdrojáků, bude tam stejné datum a čas.

Těch potenciálních problémů je opravdu víc, např. je potřeba dávat pozor, aby linker řadil object files v deterministickém pořadí. Nebo některé generované soubory mohou obsahovat padding s pseudonáhodným obsahem atd. Tady je třeba pár příkladů toho, na co se dá narazit.

[kotrcka]

"V únory 2015"?

P.S.: a to som slovák