The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Для 83% пакетов в основном репозитории Debian доказана тождественность сборок исходным текстам

14.02.2015 09:26

Разработчики Debian подвели первые итоги инициативы по обеспечению повторяемых сборок пакетов. Повторяемость сборки подтверждает, что исполняемый файл собран именно из заявленных исходных текстов и не содержит посторонних закладок, которые, например, могут быть интегрированы в результате использования поражённого в результате атаки компилятора или сборочного инструментария.

В настоящее время повторяемость сборок достигнута для 83.5% пакетов, представленных в репозитории main. Любой пользователь может лично убедиться, что предлагаемый дистрибутивом бинарный пакет байт в байт совпадает с пакетом, собранным им лично из исходных текстов. Без возможности проверить тождественность бинарной сборки пользователю остаётся лишь слепо доверять сборочной инфраструктуре дистрибутива.

На первый взгляд обеспечение повторяемости является достаточно простой задачей, но на деле требуется учитывать множество нюансов, в результате которых при сборке одного и того же исходного кода на выходе получаются не идентичные бинарные файлы. Главным образом, различия вызваны непостоянством состава сборочного окружения и добавлением в файл меняющейся во времени служебной информации, такой как данные о дате сборки. Для обеспечения повторяемости необходимо полностью воссоздать эталонное сборочное окружение, использовать те же версии сборочного инструментария, идентичный набор опций и настроек по умолчанию, применять те же методы сортировки списков файлов.

Для оценки бинарных пакетов подготовлена специальная утилита debbindiff, позволяющая детально проанализировать различия. Для многих сборочных инструментов подготовлены патчи, в основном связанные с отключением добавления информации о времени сборки. Контроль за отклонениями в повторяемости сборки осуществляется благодаря введению в строй нескольких систем пересборки пакетов из репозитория unstable, построенных с использованием системы непрерывной интеграции Jenkins и запущенных на разных серверах, настройки и начинка которых отличаются.

  1. Главная ссылка к новости (https://lists.debian.org/debia...)
  2. OpenNews: Проект по обеспечению повторяемости сборки пакетов для Fedora Linux
  3. OpenNews: Проблема проверки тождественности исходных текстов и бинарных сборок
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/41670-debian
Ключевые слова: debian, build
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (137) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, A.Stahl (ok), 10:23, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +46 +/
    Паранойя это хорошо.
    Паранойя, которая не требует от меня никаких телодвижений и не причиняющая неудобств -- это просто офигенно.
    А Дебиан ещё лучше:)
    А Дебиан без systemd это просто настолько идеально, что именно поэтому и не существует:)
     
     
  • 2.22, Michael Shigorin (ok), 12:22, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > А Дебиан ещё лучше:)

    Рад, что и в дебиане наконец-то допёрли до воспроизводимости сборки ;-)

     
     
  • 3.34, myhand (ok), 14:56, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И где же еще это реализовано?

    Только не надо ваши alt и прочие росы.  Ну где ваш патч для libxslt, или этой библиотеки в alt нету?

     
     
  • 4.38, Анонимъ (?), 15:52, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Какоё ещй патч или имеется ввиду alt patch ? Дык есть оно, как и сама библиотека http://packages.altlinux.org/en/Sisyphus/srpms/libxslt
     
     
  • 5.39, myhand (ok), 15:54, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Какоё ещй патч или имеется ввиду alt patch?

    Аналогичный тому, что наваяли для дебиановского пакету.

    > Дык есть оно,
    > как и сама библиотека http://packages.altlinux.org/en/Sisyphus/srpms/libxslt

    Это я успел заметить, как и то что ничего похожего там не обнаруживается.

     
     
  • 6.42, Анонимъ (?), 17:21, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    2013 год... И почему эти патчи до сих пор не в апстриме, дебиан вообще с апстримом работает ?
     
     
  • 7.50, myhand (ok), 18:01, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > 2013 год...

    Мухоморы еш?

    > И почему эти патчи до сих пор не в апстриме

    Может потому что обсуждаемый патч датирован январем 2015-го?

     
     
  • 8.56, Анонимъ (?), 18:15, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Он вообще туда не попадёт, как и остальные патчи, потому что 1 указанные патчи... текст свёрнут, показать
     
  • 8.57, Анонимъ (?), 18:17, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Зайди на packages debian и погляди на пакет из wheeze Анстэйбл как и анрелизы н... текст свёрнут, показать
     
  • 8.93, Аноним (-), 19:34, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Граммар наци, тащи ружье ... текст свёрнут, показать
     
  • 8.132, solomon243 (ok), 23:47, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    ешь ... текст свёрнут, показать
     
  • 6.44, Анонимъ (?), 17:42, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И зачем этот патч нужен в альте, где есть своя система безопасной и воспроизводимой сборки пакетов.
     
     
  • 7.48, Michael Shigorin (ok), 17:55, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > И зачем этот патч нужен в альте, где есть своя система безопасной
    > и воспроизводимой сборки пакетов.

    В этой задачке есть разные аспекты.

     
     
  • 8.49, Анонимъ (?), 17:59, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Например ... текст свёрнут, показать
     
     
  • 9.52, Michael Shigorin (ok), 18:03, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Содержимое пакетов порождают не только компиляторы -- это и конфигурационные, гр... текст свёрнут, показать
     
     
  • 10.55, myhand (ok), 18:14, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Так ваш реализатор уже реализовал патч для этого или только ограничился замеча... текст свёрнут, показать
     
     
  • 11.60, Michael Shigorin (ok), 18:24, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Некритично собственно, всплыло при проверке archdep, которая ранее была разрабо... текст свёрнут, показать
     
     
  • 12.64, myhand (ok), 18:37, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Критично, если понимать воспроизводимость как Debian Вообще-то, новость - про р... текст свёрнут, показать
     
     
  • 13.67, Анонимъ (?), 18:51, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    О какой воспроизводимости дебиана тогда ты говоришь, если это касается только ... текст свёрнут, показать
     
  • 13.82, Michael Shigorin (ok), 19:09, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Выдохните, успокойтесь, перечитайте Мне весьма интересно, что получится в деби... текст свёрнут, показать
     
  • 7.51, myhand (ok), 18:02, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > И зачем этот патч нужен в альте, где есть своя система безопасной
    > и воспроизводимой сборки пакетов.

    Очень любопытно почему этот патч не нужен в такой "шиштеме".

     
     
  • 8.59, Анонимъ (?), 18:22, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Сначала про снапшоты чего-нибудь ответь, а потом уже кричи, что дебиан везде пер... текст свёрнут, показать
     
     
  • 9.61, Michael Shigorin (ok), 18:24, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    1 такого утверждения и не было 2 нет смысла препираться, есть смысл обмениват... текст свёрнут, показать
     
     
  • 10.63, Анонимъ (?), 18:36, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Согласен полностью, но только не в такой манере, какую демонстрирует конкретно э... текст свёрнут, показать
     
  • 10.74, myhand (ok), 19:02, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Было другое утверждение то что ни в ALT, ни в прочих ваших РОСАх - ничего подоб... текст свёрнут, показать
     
     
  • 11.79, Michael Shigorin (ok), 19:06, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Это утверждение ложное, т к дебиан в плане обеспечения воспроизводимости сборок... текст свёрнут, показать
     
     
  • 12.95, myhand (ok), 19:42, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Бездоказательные утверждения, особенно такие громкие, я плохо воспринимаю и обыч... текст свёрнут, показать
     
     
  • 13.103, Michael Shigorin (ok), 20:26, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Потому и сказал -- где искать, кого спрашивать Кстати, dottedmag debian,altli... текст свёрнут, показать
     
  • 12.96, Аноним (-), 19:56, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Как вам уже сказал Прокудин, альт совершенно не умеет донести до ALL что и, глав... текст свёрнут, показать
     
     
  • 13.107, Анонимъ (?), 20:33, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос не в том, что умеет или не умеет Вопрос в том, что никто не интересует... большой текст свёрнут, показать
     
     
  • 14.112, Michael Shigorin (ok), 20:52, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Ну почему, разработчики порой поддерживают контакты, хотя здесь поле непаханое ... большой текст свёрнут, показать
     
     
  • 15.124, myhand (ok), 21:53, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Для справки, в тезисах - ни слова про определение воспроизводимости ... текст свёрнут, показать
     
     
  • 16.125, Michael Shigorin (ok), 21:57, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Потому и предложил расспросить ldv при необходимости PS если кому интересно п... текст свёрнут, показать
     
     
  • 17.127, myhand (ok), 22:05, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Не логично-ли это сделать своим, чтобы не лепить в features странное ... текст свёрнут, показать
     
     
  • 18.128, Michael Shigorin (ok), 22:07, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Логично, конечно Как и очень многое другое, что ещё только предстоит сделать ... текст свёрнут, показать
     
     
  • 19.130, myhand (ok), 22:12, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Пеар - так пеар, moar так moar, чо Правильной дорогой идете, товарищи ... текст свёрнут, показать
     
  • 4.43, Softfire (?), 17:41, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В Gentoo.
     
  • 4.45, Michael Shigorin (ok), 17:48, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > И где же еще это реализовано?

    В альте давно уж.

    > Только не надо ваши alt

    А где архив снапшотов дебиана, причём не по дням, а по сборкам?  Без этого надо быть тем ещё лопухом, чтоб говорить о воспроизводимости окружения.  Ну или сильно трудолюбивым человеком, если логи формирования сборочных чрутов (т.е. состав пакетов вплоть до версий) фиксируется.

     
     
  • 5.53, myhand (ok), 18:04, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    >> И где же еще это реализовано?
    > В альте давно уж.

    "Байт в байт" и проч., или как-то еще "воспроизводимость" определяется?

     
     
  • 6.54, Michael Shigorin (ok), 18:08, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > "Байт в байт" и проч., или как-то еще "воспроизводимость" определяется?

    Лучше с ldv@ потолковать, если есть прикладной интерес.  Или поднять его тезисы на летних конференциях в Обнинске лет пять-восемь тому.

    Текущую систему -- с квантованным переходом состояния репозитория от задания к заданию -- дизайнил at@, на эту тему тоже была статья в тезисах.

    Ещё заинтересованным может быть полезно найти Сергея Кубушина (KSI), но то были давние дела и насколько понимаю -- уже неактуальные в связи с тем, что gcc подправили.

     
     
  • 7.62, myhand (ok), 18:25, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> "Байт в байт" и проч., или как-то еще "воспроизводимость" определяется?
    > Лучше с ldv@ потолковать, если есть прикладной интерес.  Или поднять его
    > тезисы на летних конференциях в Обнинске лет пять-восемь тому. [...]

    Ответ на вопрос - "не знаю", я правильно понял?

    Если бы "байт в байт", то, насколько я понимаю, вы уперлись бы в тот же цитированный выше патч.  Раз не уперлись - либо добрая половина репа (libxslt это вам не это!) тестами не покрыта, либо "воспроизводимость" у вас существенно отличается от "байт в байт".

    В любом случае, "в альте давно уж" - выглядит "преувеличением" (ц).  Аристотель соврать не даст.

     
     
  • 8.72, Michael Shigorin (ok), 18:58, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Да Сомнения берут насчёт доброй половины , как минимум по моим пакетам _генера... текст свёрнут, показать
     
     
  • 9.80, myhand (ok), 19:07, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    По popcon - довольно популярный пакетик, но мимо него промахнулись Маловато,... текст свёрнут, показать
     
     
  • 10.87, Michael Shigorin (ok), 19:21, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Вы понимаете, где popcon, а где сборочные окружения ... текст свёрнут, показать
     
     
  • 11.94, myhand (ok), 19:35, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я подразумеваю, что реализуя поддержку воспроизводимых сборок - ее авторы обратя... текст свёрнут, показать
     
     
  • 12.100, Michael Shigorin (ok), 20:14, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Пожалуйста, _внимательно_ перечитайте https wiki debian org ReproducibleBuilds... текст свёрнут, показать
     
     
  • 13.110, myhand (ok), 20:43, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Зачем Инфраструктурные пакеты - пропатчили для обеспечения возможности воспрои... текст свёрнут, показать
     
     
  • 14.113, Michael Shigorin (ok), 20:54, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Правильно как полагаете, многие ли пакеты собирают документацию с использование... текст свёрнут, показать
     
     
  • 15.115, myhand (ok), 21:05, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Порядочно, гномовские пакеты например ... текст свёрнут, показать
     
     
  • 16.119, Michael Shigorin (ok), 21:17, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Не только собственно, к моему mkimage-profiles собирает asciidoc - fop - libx... текст свёрнут, показать
     
     
  • 17.120, myhand (ok), 21:30, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, не только Одного гнома - более чем много Ну а для того, чтобы не судить н... текст свёрнут, показать
     
     
  • 18.122, Michael Shigorin (ok), 21:46, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Уф нет Частично да -- в них может оказаться тот же asciidoc, но не оказаться... большой текст свёрнут, показать
     
     
  • 19.126, myhand (ok), 22:01, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну тогда libxslt - мимо Так в Debian, не знаю как в alt Правильная зависимост... текст свёрнут, показать
     
     
  • 20.129, Michael Shigorin (ok), 22:10, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Опять ничего не поняли Важно то, входит ли проблемный пакет в _развёрнутые_ ... большой текст свёрнут, показать
     
  • 21.131, myhand (ok), 22:34, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А это как раз дурацкий критерий для важности Впрочем, заострю внимание лишь ... большой текст свёрнут, показать
     
  • 22.136, Michael Shigorin (ok), 00:01, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Для ЭТОЙ задачи это ЕДИНСТВЕННЫЙ релевантный критерий Думать до полного осмысл... большой текст свёрнут, показать
     
  • 23.143, myhand (ok), 03:41, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    22 Michael Shigorin Рад, что и в дебиане наконец-то допёрли до воспроизводим... большой текст свёрнут, показать
     
  • 24.165, Michael Shigorin (ok), 16:24, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Нет ровно к тому и было упоминание множественности аспектов Иначе бы так и на... большой текст свёрнут, показать
     
  • 25.170, myhand (ok), 15:35, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, ты не объяснил - ты описал относительно недавние изменения в сборочной сист... текст свёрнут, показать
     
  • 26.172, Michael Shigorin (ok), 17:04, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да, за последний десяток лет А я и не уверен, что именно они нужны дебиану Пр... текст свёрнут, показать
     
  • 27.173, myhand (ok), 17:33, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Раз инфраструктурные патчи в subj новости отсутствуют - не нужны ... текст свёрнут, показать
     
  • 28.174, Michael Shigorin (ok), 17:42, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    sigh ... текст свёрнут, показать
     
  • 29.175, myhand (ok), 18:18, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Подвисшему дистрибутиву - виднее ... текст свёрнут, показать
     
  • 21.146, Анонимъ (?), 09:43, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Не тратьте время, дебиан будет делать только то, что им в голову взбредёт Я же ... текст свёрнут, показать
     
  • 7.99, Аноним (-), 20:11, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Типичный ответ альтов на все вопросы Послать кого-то куда-то Подразумевая что ... большой текст свёрнут, показать
     
     
  • 8.101, Анонимъ (?), 20:23, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    обновление конфига бутлоадера вообще без моего участия, так что я только ставлю... текст свёрнут, показать
     
     
  • 9.104, Michael Shigorin (ok), 20:29, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Дискутируете с человеком, который прочитал набросы ламеров, обчитавшихся пингвин... текст свёрнут, показать
     
     
  • 10.142, Аноним (-), 03:03, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    На самом деле - и как-то так тоже бывает И опять же, сказать что альты не при ч... текст свёрнут, показать
     
  • 8.102, Michael Shigorin (ok), 20:24, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    где могут сэкономить годы жизни и битья головой об стенку Кому тематика инте... большой текст свёрнут, показать
     
     
  • 9.140, Аноним (-), 02:55, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А могут и не сэкономить И вообще, окажется что своих стен навалом Это наверное... большой текст свёрнут, показать
     
     
  • 10.144, myhand (ok), 03:56, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В смысле, на control файл пакета или вывод чего-то типа dpkg -s А нафейхоа, ... большой текст свёрнут, показать
     
  • 10.169, Michael Shigorin (ok), 20:43, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Потому и могут сэкономить , а не сэкономят Вы всерьёз предлагаете пытаться и... большой текст свёрнут, показать
     
  • 5.69, myhand (ok), 18:53, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А зачем, чтобы было Все что нужно - как раз есть, это snapshot debian org Ну... большой текст свёрнут, показать
     
     
  • 6.76, Michael Shigorin (ok), 19:04, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Затем, что в день попадания в такой архив, скажем, glibc или нового gcc возникне... большой текст свёрнут, показать
     
     
  • 7.89, myhand (ok), 19:25, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Ну и Да хоть двадцать два Ни какого на одно и то же - совершенно разные да... большой текст свёрнут, показать
     
     
  • 8.97, Michael Shigorin (ok), 20:07, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Каждый собравшийся в архив пакет может поменять сборочное окружение следующих за... текст свёрнут, показать
     
     
  • 9.105, myhand (ok), 20:30, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, и Следующие пакеты все-равно будут собираться с конкретным снапшотом архив... текст свёрнут, показать
     
     
  • 10.108, Michael Shigorin (ok), 20:41, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А, ну можно и так делать Только это автоматически увеличивает минимальный зазо... большой текст свёрнут, показать
     
     
  • 11.114, myhand (ok), 20:56, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    transitions и как их готовят Скорее - это связано с частотой обновления ftp deb... текст свёрнут, показать
     
     
  • 12.116, Michael Shigorin (ok), 21:09, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    О чём и писал Теперь сравните http ftp altlinux org pub distributions archiv... текст свёрнут, показать
     
     
  • 13.121, myhand (ok), 21:40, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Эт хорошо, но не худо бы сперва читать ... текст свёрнут, показать
     
  • 3.158, Аноним (-), 19:02, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> А Дебиан ещё лучше:)
    > Рад, что и в дебиане наконец-то допёрли до воспроизводимости сборки ;-)

    Как опёнковод со стажем, присоединяюсь.

     
  • 3.164, pavlinux (ok), 15:49, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Удалите нах всю эту ветку, офтоп полный
     

     ....большая нить свёрнута, показать (82)

  • 1.2, ferux (ok), 10:36, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Это конечно хорошая инициатива, хотя никто не может гарантировать, что уже в исходном коде компилятора нет закладки.
     
     
  • 2.157, Анонимный (?), 18:57, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Про что и речь. Нет никакой 100% тождественности, пока не решён вопрос о самом главном - доверенном компиляторе. Можно сколько угодно трындеть о процентах и патчах, кидаться ссылками и строить из себя Д'Артаньяна. Видимо майханд из новой волны, судя по сленгу, оттуда и пренебрежительное отношение ко всему, что не является "Debian".
     
     
  • 3.160, myhand (ok), 23:04, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Видимо майханд из новой волны, судя по сленгу, оттуда и пренебрежительное отношение
    > ко всему, что не является "Debian".

    Вообще-то, у меня пренебрежительное отношение ко всему, что корчит из себя без достаточных оснований.

    Если где-то уже сделано лучше - это только хороший повод поучиться.  А вот когда только декларируют сделанное, а на деле патчей нема - это уже лишь повод дать тапком по рукам за вранье.

     
  • 3.166, Michael Shigorin (ok), 16:26, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Нет никакой 100% тождественности, пока не решён вопрос
    > о самом главном - доверенном компиляторе.

    Это вопрос из соседней оперы, отличающейся примерно как авторизация ("да, нужное") от аутентификации ("то же самое").

    Т.е. компилятор с закладкой может прекрасно собирать воспроизводимые бинарники специального вида, а доверенный компилятор, ставящий те же timestamp'ы -- может собирать "нужные" бинарники, которые не получается без спец. мер воспроизвести (второй пример высосан из пальца, но вполне реализуем).

     

  • 1.5, const86 (ok), 11:04, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Чтобы не доверять слепо (да и то условно, ну да ладно), я должен собрать пакет сам и сравнить его с тем, что проверяю. Окей. Но если я собрал пакет сам, то я просто его поставлю и буду использовать, какая мне уже разница, отличается он от чего бы то ни было?
     
     
  • 2.13, Аноним (-), 11:39, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И что? Поставили пользуйтесь, обновляйте его и поддерживайте сами.
     
     
  • 3.167, Amonimus (?), 16:33, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Сколько хватает моего склероза, в FreeBSD до 10 версии это не вызывало каких-то нерешаемых проблем - порты шли в виде сырцов и компилились на месте, с учётом настроенных переменных в /etc/make.conf - не?
     
  • 2.19, Аноним (-), 12:19, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    а так же поддерживать все необходимое для сборки обновляемых пакетов вовремя и обновления на всех компьютерах где ты пользуешься дебианом. В общем дерзай.
     
  • 2.25, Ordu (ok), 12:59, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ты совершаешь ошибку, деля весь мир на чёрное и белое Не слепо доверяю -- не ... большой текст свёрнут, показать
     

  • 1.12, Аноним (-), 11:39, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/
    а вот в Rust повторяемость сборок доступна из коробки. А еще там безопасные указатели. Переходите на Rust!
     
     
  • 2.21, Аноним (-), 12:22, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Давай ты перепишешь линукс на rust, а так же утилиты гну, кде и прочее. Тогда я может быть перейду на rust
     

  • 1.24, Аноним (-), 12:42, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Как быть с остальными 16,5%?
     
     
  • 2.27, Galliumnein (?), 13:30, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Продолжать работать над этим.
     

  • 1.30, Bizdelnick (?), 13:47, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Любой пользователь можно лично убедиться, что предлагаемый дистрибутивом бинарный пакет байт в байт совпадает с пакетом, собранным им лично из исходных текстов.

    Таки байт в байт? Ну-ну.

     
  • 1.31, Нанобот (ok), 14:03, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    а в ELF-файлах хранится дата/время сборки?
     
     
  • 2.32, Нанобот (ok), 14:06, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > а в ELF-файлах хранится дата/время сборки?

    дочитал новость до конца, вопрос снимается :)

     

  • 1.41, Аноним (-), 16:37, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Ну вот, спохватились. Сколько там этот дистрибутив существовал без возможности его использовать?
     
     
  • 2.47, Michael Shigorin (ok), 17:54, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Сколько там этот дистрибутив существовал без возможности его использовать?

    Когда ходил в походы в прошлом веке, в горах уже попадались дебианщики (2.0 или что тогда было)...

     
     
  • 3.83, бедный буратино (ok), 19:09, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    а я знаю этих дебианщиков. они до сих пор живут в горах и смеются...
     
     
  • 4.118, Аноним (-), 21:15, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    "своим смешным линукс-смехом" ©
     
  • 2.92, freehck (ok), 19:33, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Этот дистрибутив - парадигма стабильности на протяжении вот уже 20 лет. Покажите мне другой такой дистрибутив, который "возможно использовать". Да, и пусть у него будет хотя бы половина от этих 83%.
     

  • 1.90, privation (?), 19:31, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    достаточно нескольких байтов в пределах 1% стобы доказать неравенство тождества
     
     
  • 2.98, Michael Shigorin (ok), 20:08, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > достаточно нескольких байтов

    Одного бита.

     
     
  • 3.147, privation (?), 14:01, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    бит - это необходимое условие, а байт достаточное
     
     
  • 4.152, Michael Shigorin (ok), 15:56, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > бит - это необходимое условие, а байт достаточное

    Одного бита уже достаточно, чтобы уехала контрольная сумма.

     

  • 1.106, ваноним (?), 20:32, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    чего только не придумают, лишь бы gentoo не ставить.
     
     
  • 2.109, Michael Shigorin (ok), 20:42, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > чего только не придумают, лишь бы gentoo не ставить.

    Есть подозрение, что как раз там с воспроизводимой сборкой в смысле этой новости всё крайне грустно -- задачи совсем другие решались, а гибкость и воспроизводимость находятся на разных полюсах этой "качели".

     
     
  • 3.178, ваноним (?), 16:48, 24/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    как раз в контексте этой новости бинарная воспроизводимость несколько теряет смысл. убедиться, что "пакет собран из заявленных исходных текстов" в генте значительно проще.
     
     
  • 4.180, Michael Shigorin (ok), 17:22, 24/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > убедиться, что "пакет собран из заявленных исходных текстов" в генте значительно проще.

    Уверены, что понимаете слова "сборочное окружение"?

     
     
  • 5.182, ваноним (?), 20:52, 25/03/2015 [^] [^^] [^^^] [ответить]  
  • +/
    да
     
  • 2.111, Ordu (ok), 20:46, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Молчи. :)
    В данной ситуации сорц-базед дистры сосут причмокивая. Если у тебя в gcc каким-то образом оказалась закладка, то ты не сможешь сравнить бинарь этого gcc и бинари скомпилированные им с эталонными, чтобы проверить, что закладок нет. Ты вынужден верить в то, что тулчайн в твоей системе не содержит закладок.
     
     
  • 3.134, solomon243 (ok), 23:55, 14/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Ты вынужден верить в то, что тулчайн в твоей системе
    > не содержит закладок.

    +100500
    самый интимный момент...


     
  • 3.137, Аноним (-), 00:02, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > В данной ситуации сорц-базед дистры сосут причмокивая. Если у тебя в gcc
    > каким-то образом оказалась закладка, то ты не сможешь сравнить бинарь этого
    > gcc и бинари скомпилированные им с эталонными, чтобы проверить, что закладок
    > нет. Ты вынужден верить в то, что тулчайн в твоей системе
    > не содержит закладок.

    Как раз только в source-based и сможешь. В debian - никак.

    Вот это почитай для саморазвития: https://www.linux.org.ru/news/opensource/11314293/page1#comment-11319169

     
     
  • 4.138, Michael Shigorin (ok), 00:03, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Как раз только в source-based и сможешь.

    Нет.

     
  • 4.149, Ordu (ok), 14:49, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Вот это почитай для саморазвития: https://www.linux.org.ru/news/opensource/11314293/page1#comment-11319169

    Там по ссылке написано следующее: "я верю в свой тулчайн и верю что он не содержит закладок." Я об этом и сказал -- доверие пользователя сорц-базед дистра к своему софту упирается в доверие к тулчайну. И проверить это крайне сложно, даже если вытащить жёсткий диск, воткнуть в другую машину и попробовать там разобраться.

     
     
  • 5.179, ваноним (?), 16:52, 24/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    и как на фоне этого убедиться, что тот же debian собран без закладок? там тулчейн компилируется в машинные коды проверяющим пользователем? ну повторили вы бинарно сборку с закладкой и дальше что?
     
  • 3.148, Crazy Alex (ok), 14:07, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    В source-based  я могу гарантировать, что у меня исходники те, что обещали, и самостоятельно всё собрать. В этом плане мне надо быть уверенным в корректности полутора пакетов, которыми я бутстраплюсь. Их можно хоть намертво зафиксировать лет на десять.
     
     
  • 4.150, Ordu (ok), 15:00, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Плюс проблема в том, что единственный способ проверить бинарь gcc на отсутствие ... большой текст свёрнут, показать
     
     
  • 5.155, Crazy Alex (ok), 17:32, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Достаточно на другой машине собрать gcc, а им - собрать gcc. Можно для сравнения собрать gcc clang и этим собранным gcc пересобрать себя. Если будут различия - дизасм и прочий анализ, вряд ли их будет много. После чего можно этот gcc фиксировать как эталонный.
     
     
  • 6.156, Ordu (ok), 18:33, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    На другой машине придётся собрать именно эту версию gcc Если предположить, что ... большой текст свёрнут, показать
     
     
  • 7.161, Crazy Alex (ok), 02:11, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Так я на бит-в-бит для всего и вся не претендовал. Как раз наоборот - собираем полтора пакета несколько раз, вручную смотрим различия, убеждаемся, что эти различия безвредны и объявляем, что пакеты собраны корректно и заначиваем их до лучших времён в готоовм,  бинарном виде. Дальше ими можно бутстрапить новую версию сборочных тулзов и ею - всё остальное, при этом нам побоку, как оно работает - лишь бы все исходники были с контрольными суммами/подписями доверяемой сущности. Если не нужна государственная сертификация - не вижу проблем. Ну а те места, где она нужна, давно пора взорвать динамитом из-за тупости и неэффективности. Альты же эти места любят, поэтому для них такой вариант, разумеется, не покатит.
     
  • 7.162, Crazy Alex (ok), 02:21, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Но вообще-то я действительно в этом ни черта не сображаю. Просто жизненный опыт подсказывает, что разного рода идеальные решения - вроде математических доказательств корректности, сборки бит-в-бит, чистого функционального подхода и тому подобного - на практике проигрывают более приземлённым решениям.
     
     
  • 8.168, Michael Shigorin (ok), 16:53, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Стопроцентные решения обычно и впрямь недостижимы или имеют свои крупные проблем... текст свёрнут, показать
     

  • 1.133, Michael Shigorin (ok), 23:51, 14/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Благодаря подначкам, вопросам и (неправильным) ответам тов. myhand и гражданина User294 сделал проверку да написал статейку: http://altlinux.org/reproducible

    Любой желающий может воспроизвести мой пример, а особо въедливые -- и поискать опровержение (был взят первый попавшийся небольшой пакет из тех, что у меня за последнее время заметно менялись в плане сборки).

     
     
  • 2.141, myhand (ok), 03:00, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Благодаря подначкам, вопросам и (неправильным) ответам тов. myhand

    Тов. myhand, например, невооруженным глазом видит, что автоматизирована эта сверка через одно место.

    > сделал проверку да написал статейку: http://altlinux.org/reproducible

    Это говорит о том, что в ALT не сильно хуже, чем в Debian.  Но пока не следует что лучше.

    > особо въедливые -- и поискать
    > опровержение (был взят первый попавшийся небольшой пакет из тех, что у
    > меня за последнее время заметно менялись в плане сборки).

    Да все уже нашли.  Берем пакеты, использующие xmlto для документации или sphinx.

     
     
  • 3.153, Michael Shigorin (ok), 15:59, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> Благодаря подначкам, вопросам и (неправильным) ответам тов. myhand
    > Тов. myhand, например, невооруженным глазом видит, что автоматизирована
    > эта сверка через одно место.

    Вообще не автоматизирована, хотя напрашивается, согласен.  А предъявил для выяснения степени истинности утверждения "в альте нет воспроизводимой сборки".

    [skip: всё уже сказал]

     
     
  • 4.154, myhand (ok), 16:43, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > А предъявил для выяснения степени
    > истинности утверждения "в альте нет воспроизводимой сборки".

    Так никак не выясняет, см. #143.  Добавлю что сборка одного пакета для статистики - непредставительно, мягко говоря.

     
     
  • 5.159, myhand (ok), 22:49, 15/02/2015 [^] [^^] [^^^] [ответить]  
  • +/
    ЗЫ:
    Попробовал воспроизвести билд, увы kvm c CDROM подвис на "Populating /dev".  Может 2Gb памяти ему мало для загрузки?  С другой стороны, а не жирно ли будет?

    Вообщем, пациент скорее мертв.

     
     
  • 6.163, Michael Shigorin (ok), 15:31, 16/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Попробовал воспроизвести билд, увы kvm c CDROM подвис на "Populating /dev".

    Давайте параметры запуска, сама-то текстовая livecd-шка должна была стартовать.

    PS: лучше не ввязываться в подобные споры, не занимаясь тематикой -- потому как когда говоришь "такого нет", тебе предъявляют наличие даже одного экземпляра, то съезжать на "статистику" получается просто глупо.  Собственно, расписывал в деталях ровно для того, чтоб показать -- проблема есть, она сложная и многосторонняя, решать её можно с разных сторон, а вовсе не для мерянья (кроме разве отмечания того очевидного факта, что в альте этим вопросом в прикладном плане задались более десяти лет тому).

    PPS про tmpfs: http://lists.altlinux.org/pipermail/devel/2015-February/199483.html

     
     
  • 7.171, myhand (ok), 15:48, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> Попробовал воспроизвести билд, увы kvm c CDROM подвис на "Populating /dev".
    > Давайте параметры запуска

    kvm -net nic,vlan=0,model=e1000,macaddr=DE:AD:BE:EF:43:56 -net tap,vlan=0,ifname=tap0 -no-shutdown -usb -usbdevice tablet -smp 2 -m 2048 -boot menu=on -drive file=a,media=disk,index=0,boot=on -cdrom altlinux-p7-builder-20141212-x86_64.iso -soundhw es1370

    Еще говорит "could not insert efivars".

    > PS: лучше не ввязываться в подобные споры, не занимаясь тематикой -- потому
    > как когда говоришь "такого нет", тебе предъявляют наличие даже одного экземпляра,
    > то съезжать на "статистику" получается просто глупо.

    Ты мне - один (который еще воспроизвести надо, подвисший
    Linux - это нечто), а я тебе уже как минимум два, забыл уже?  Такая вот статистика.

    >  Собственно, расписывал в
    > деталях ровно для того, чтоб показать -- проблема есть, она сложная
    > и многосторонняя, решать её можно с разных сторон, а вовсе не
    > для мерянья (кроме разве отмечания того очевидного факта, что в альте
    > этим вопросом в прикладном плане задались более десяти лет тому).

    А патчей нет и поныне.

     
     
  • 8.176, Michael Shigorin (ok), 19:10, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Спасибо, воспроизвёл на 2 2 0 -- похоже, qemu плохеет от лишних ядерных модуле... текст свёрнут, показать
     
     
  • 9.177, myhand (ok), 21:28, 17/02/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, с новым образом - завелось Ну вот Jessie начну тестировать - будет повод Т... текст свёрнут, показать
     

  • 1.139, Аноним (-), 02:05, 15/02/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Раньше все верили что в свичах нету бэкдоров и закладок.
     
  • 1.181, Andrey Mitrofanov (?), 10:30, 12/03/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Holger Levsen сообщил http://layer-acht.org/thinking/blog/20150307-reproducible-video/ , что

    доступно видео его с коллегой доклада https://fosdem.org/2015/schedule/event/stretching_out_for_trustworthy_reproduc по теме 31 января на FOSDEM 2105. +слайды и последние новости https://reproducible.debian.net/sid/index_suite_stats.html начинания.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру