Das Debian-Projekt kommt mit seiner Arbeit an reproduzierbaren Builds voran. Sie sollen es einem User ermöglichen, das Binärpaket einer Software mit dem Quellcode abzugleichen.
Die Technologie soll die Sicherheit von Software erhöhen. Indem zwei aus demselben Quellcode erzeugte Binärpakete Byte für Byte identisch sind, lässt sie ihre Integrität prüfen. Der Haken: Dafür müssen Entwickler den Quellcode tausender Pakete entsprechend anpassen.
Debians Reproducible Builds Project habe inzwischen 80 Prozent der Pakete umgestellt, insgesamt mehr als 17 000, berichtet Lwn.net mit Verweis auf den Entwickler Jérémy Bobbio. Dabei ringe das Projekt mit einigen Problemen. So bräuchten solche Pakete eine identische Build-Umgebung, identische Systemzeit, gleiche Programmversionen, Hostnamen und so weiter. Zudem erstellt “tar” trotz identischer Verzeichnisbäume unterschiedliche Archive, was von mit der Reihenfolge der Dateinamen, aber auch der Locale zusammenhänge.
Über das “.buildinfo”-File lassen sich diese Probleme allerdings umgehen. Die Dateien beherbergen unter anderem die Informationen dazu, welche Pakete es braucht, um ein Paket zu bauen, inklusive der Versionsnummern. Werden Pakete dann auf verschiedenen Maschinen gebaut, müssen sie dieselbe “.buildinfo”-Datei mit einem identischen Hash verwenden. Anschließend signieren die Debian-Entwickler das Paket wiederum mit einer Signatur, die in einem separaten File landet und dafür birgt, dass das Paket exakt reproduziert werden konnte. Für Maintainer gibt es zudem einen Guide, der erklärt, wie sich ein Paket reproduzierbar machen lässt.
Entwickler Bobbio hofft, dass das Projekt die Reproducible Builds nach dem Release von Debian Jessie (8.0) zu einem Highlight für die Debian-Version 9.0 macht. Noch gebe es aber einiges zu tun, da sich nicht alle Pakete ohne Weiteres reproduzierbar machen lassen.
