debbindiff: Debian prüft künftig den Ursprung der Binärdatei

23 Februar 2015 2 Kommentare Autor: Jürgen (jdo)

Also künftig heißt in dem Zusammenhang nicht in der nächsten großen Version Debian 8 Jessie. Laut Micah Lee könnte Debian allerdings das erste Betriebssystem und Linux-Distribution werden, dass den Ursprung der Binärdateien beweist.Die Funktion würde es also jedem erlauben, unabhängig prüfen zu können, dass das jeweilige Debian-Paket auch aus den angegebenen Quellen entstanden ist.

Ursprung mit debbindiff prüfen

Das Team hat bereits 83 Prozent der Quell-Pakete abgewickelt, die sich im Haupt-Archiv des Unstable-Zweiges befinden. Das steht in einem kürzlich ausgegebenem Report. Für Jessie reicht es allerdings nicht mehr und die Funktion wird dort keinen Einzug halten. Für Debian 9 Stretch könnte es aber reichen. Hoffen wir, dass es nicht bis Debian 10 Buster dauert. Die reproduzierbaren Builds soll sogar als Entwicklungs-Ziel für Stretch aufgenommen werden.

Das Team hat ein Tool entwickelt, das sich debbindiff nennt. Damit kann man detaillierte Unterschiede (diffs) bei den Binär-Paketen untersuchen. Die Pakete werden dann zweimal auf jenkins.debian.net gebaut und die reproduzierbaren Resultate im Debian Package Tracker hinterlegt.

Durch diese Funktion lassen sich Lücken bei der Transparenz schließen. Auch wenn der Quellcode Open-Source ist, gibt es dennoch eine Lücke zwischen den Quellen, dem Kompilieren und / oder Paketieren – da ist die Sache nicht ganz durchsichtig. Sollte ein System kompromittiert sein und beim Build etwas schief gehen, merkt man das möglicherweise nicht. Mit den reproduzierbaren Builds würde man das Problem in Angriff nehmen.

Du kannst gerne Deinen Senf zu diesem Beitrag geben: Hier geht es zu den Kommentaren




Schreiben macht durstig! Eine kleine Erfrischung kann daher nie schaden. Wem dieser freie Artikel gefallen hat, der darf mir gerne einen frisch gezapften Hopfen-Tee ausgeben (Paypal - der Spenden-Knopf
oder bitcoin - Adresse: 1NacVNwcLLePUVv8uSafu5Ykdwh8QyDfgK). Ich freue mich über jede noch so kleine Spende. Vielen Dank und Prost!
 Alle Kommentare als Feed abonnieren

2 Kommentare zu “debbindiff: Debian prüft künftig den Ursprung der Binärdatei”

  1. Martin Zabinski sagt:

    Bei meinem Gentoo kann ich auch feststellen ob das Programm was ich aus den Quellen gebaut habe, ich auch aus den Quellen gebaut hab.
    Hm irgendwo hinkt da der vergleich .. bloß wo?
    Naja Debian ist dann wohl nicht das erste das es nachvollziehbar macht, aber evl das erste was Binärdaten verteilt.

Antworten