Debian sperrt nun nicht reproduzierbare Pakete aus dem Testing-Repository

Debian verhindert nun, dass nicht reproduzierbare Pakete in den „testing“-Zweig gelangen, wodurch reproduzierbare Builds zu einer Voraussetzung für die Migration im Zyklus 14 (Forky) werden.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Das Debian-Release-Team gab bekannt, dass die Distribution nun verhindert, dass Pakete, die die „reproducible-build“-Prüfungen nicht bestehen, in den „testing“-Zweig übernommen werden, wodurch ein seit langem angestrebtes Ziel der Lieferkette zu einer verbindlichen Veröffentlichungsvoraussetzung wird.

Diese Regel gilt auch für Pakete, die sich bereits in testing befinden, wenn ein späteres Update eine Regression der Reproduzierbarkeit verursacht. Die Änderung ist seit dem 9. Mai im Rahmen des aktuellen Forky-Entwicklungszyklus in Kraft.

🎓 Reproduzierbare Builds bedeuten, dass derselbe Quellcode, der in derselben kontrollierten Umgebung kompiliert wird, identische Binärpakete erzeugt. Dies ermöglicht es Debian-Betreuern und unabhängigen Rebuildern zu überprüfen, ob die an Benutzer verteilten Binärdateien mit dem veröffentlichten Quellcode übereinstimmen.

Zu den Hauptvorteilen zählen die Integrität der Pakete, die Transparenz der Builds und eine strengere Überprüfung der Lieferkette. Auf diese Weise kann Debian effektiver sicherstellen, dass die verteilten Binärdateien mit ihrem Quellcode übereinstimmen, unerwartete Änderungen am Build erkennen, das Risiko verringern, dass kompromittierte Infrastrukturen veränderte Pakete produzieren, und verhindern, dass Reproduzierbarkeitsrückschritte in die Testing-Phase gelangen.

Für die Nutzer hat diese Änderung keine Auswirkungen auf die aktuelle stabile Version. Sie wirkt sich direkt auf Debian Testing aus, wo Pakete für die nächste stabile Version (14 Forky, voraussichtlich Mitte 2027) vorbereitet werden. Wenn ein Paket nicht reproduziert werden kann oder wenn ein Update die Reproduzierbarkeit eines bereits in Testing befindlichen Pakets beeinträchtigt, wird die Migration blockiert, bis das Problem behoben ist.

Diese Prüfungen stützen sich auf Debians Infrastruktur reproduce.debian.net, die versucht, Binärpakete Bit für Bit anhand von .buildinfo Dateien neu zu erstellen, die während des ursprünglichen Build-Prozesses erstellt wurden. Das Dashboard zeigt bereits eine hohe Reproduzierbarkeitsrate für Forky an. Zum Zeitpunkt der Erstellung dieses Artikels melden alle Architekturen über 98 % reproduzierte Builds mit 23.728 fehlerfreien Paketen.

Das Release-Team beschrieb diesen Schritt als „einen kleinen Schritt im Code, aber einen riesigen Sprung im Engagement“ und erklärte, dass Debian beschlossen habe, dass die Distribution reproduzierbare Pakete ausliefern müsse.

Darüber hinaus geben die Entwickler an, dass Debians Migrationssoftware nun autopkgtests für rein binäre Uploads ohne Betreuer (binNMUs) ausführen kann, wie dies bereits bei vollständigen Quellcode-Uploads der Fall ist.

Weitere Details finden Sie in der Ankündigung.

Spendieren Sie Bobby einen ☕ Ko-fi

s3n🧩net wünscht viel Vergnügen