https://217.65.3.21/openforum/vsluhforumID3/112906.html Разработчики Arch Linux рассказали (http://vdwaa.nl/arch/linux/reproducible/builds/security/reproducible-builds-arch/) о состоянии проекта по обеспечению повторяемых сборок, которые позволяют убедиться, что распространяемые в пакетах бинарные файлы собраны из предоставляемых исходных текстов и не содержат скрытых изменений. <br><br><br>В настоящее время повторяемые сборки обеспечены (https://tests.reproducible-builds.org/archlinux/archlinux.html) для 77% из протестированных 17% пакетов (для сравнения в Debian 9 этот показатель составляет (https://tests.reproducible-builds.org/debian/reproducible.html) 94.1%). Для pacman подготовлен набор патчей с реализацией режима повторяемых сборок, которые намечены для включения в состав одного из следующих стабильных релизов. Началась работа по созданию инфраструктуры для сопровождения повторяемых сборок.<br><br><br><br><br><br>Повторяемые сборки являются важным звеном обеспечения безопасности, так как дают любому пользователю возможность убедиться в том, что предлагаемые дистрибутивом сборк https://217.65.3.21/openforum/vsluhforumID3/112906.html#48 Wed, 06 Dec 2017 20:57:09 GMT &gt; В других дистрибутивах сборка в воспроизводимом окружении -<br>&gt; внештатный режим, прикрученный сбоку проволокой и отключенный<br>&gt; по дефолту. Потому что для сборки каждого пакета в чруте надо<br>&gt; с нуля создать новое окружение, распаковать туда все зависимости,<br>&gt; это занимает кучу времени. В Nix этого делать не нужно<br><br>Н-да, вот уж появления никсоламеров я как-то не ожидал увидеть.<br><br>Любезнейший, ну почитайте хоть немножко про всякие pbuilder и hasher, а потом осознайте тот простой факт, что в альте эта самая "куча времени" тратится уже больше десятилетия на каждый попадающий в репозиторий пакет. И это не считая других вещей, до осознания существования и осмысленности которых "оптимистам", соответственно, ещё дальше.<br><br>PS: хотя закралось подозрение, что Вы не поняли и #43, и то, что от смены методов адресации _источников_ сборочная среда строго заданного вида не самоорганизуется.<br><br>&gt; только этот хэш известен ещё до сборки пакета<br><br>...что лишь ужесточает требования к пресловутой воспроизводимости для возмо https://217.65.3.21/openforum/vsluhforumID3/112906.html#44 Mon, 04 Dec 2017 13:19:26 GMT И что, в исходнике нет закладки? <br>Кто проверял? <br>Майнтейнер проверен на детекторе лжи, гипнозом и т.д.?<br>Может он сотрудник аутсорса АНБ, как Сноуден, но без совести?<br><br>Есть ли безопасные системы?<br>Параноя?<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#43 Mon, 04 Dec 2017 13:16:49 GMT &gt; Не понимаю что неожиданного. Я собираю софт в chroot, ничего отличающегося от основной системы не вижу. Просто кто-то любит себе сложности создавать.<br><br>Мда. Со скриптами ./configure вы не сталкивались? Когда вам в зависимости от найденных библиотек, разные сборочные параметры выставляются?<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#42 Mon, 04 Dec 2017 13:15:15 GMT соберут во flatpack, appimage, snap и GNU/Linux превратится в мусор<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#41 Mon, 04 Dec 2017 12:23:49 GMT Лично я понял так, что пакеты будут собираться локально только для того, чтоб удостовериться в том, что те, которые находятся в репозитории и будут установлены ничем и никем не модифицированы :))<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#40 Mon, 04 Dec 2017 08:29:52 GMT &gt;Повторяемые сборки являются важным звеном обеспечения безопасности, так как дают любому пользователю возможность убедиться в том, что предлагаемые дистрибутивом сборки байт в байт совпадает со сборками, собранными лично из исходных текстов.<br><br>Если дистр source based, то лучше принципиально все пакеты собирать самому и не ставить никаких бинарных.<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#39 Mon, 04 Dec 2017 06:40:41 GMT &gt;и разруливать все зависимости<br><br>&lt;подозрительно&gt; А ты точно адекват?<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#38 Mon, 04 Dec 2017 04:13:46 GMT Перевожу на юзерский:<br>"В скором времени пользователи ArchLinux будут ВЫНУЖДЕННЫ сами собирать свои пакеты, и разруливать все зависимости."<br> https://217.65.3.21/openforum/vsluhforumID3/112906.html#37 Sun, 03 Dec 2017 19:22:01 GMT Такую инициативу можно разве что сравнить с полётом в соседний магазин за хлебом с пересадкой где-то во Франкфурте :))<br><br>Достоверность исполняшек &#8210; дело нужное и полезное, но при локальной пересборке каждого требуемого .deb-ИЛа, в случае неповторяемости хоть одного из них, как потом ты прописяешь, это у тебя закладка, руткит или троян или на дистро-серваке? :)))<br>