Abo
  • Services:

Linux-Distributionen: Mehr als 90 Prozent der Debian-Pakete reproduzierbar

Das Reproducible-Builds-Projekt der Linux-Distribution Debian meldet neue Erfolgszahlen. Demnach lassen sich auf bestimmten Plattformen bereits 94 Prozent der Pakete reproduzierbar bauen.

Artikel veröffentlicht am , Kristian Kißling/Linux Magazin
Die meisten Debian-Pakete lassen sich reproduzierbar bauen.
Die meisten Debian-Pakete lassen sich reproduzierbar bauen. (Bild: Debian)

Das seit einigen Jahren laufende Projekt für Reproducible Builds, das von Entwicklern der Linux-Distribution Debian gestartet worden ist, meldet einen großen Erfolg: 94 Prozent der Pakete von Debian für die 64-Bit x86-Architektur lassen sich inzwischen reproduzierbar von Quellcode in Binärcode übersetzen.

Reproduzierbare Builds für die Sicherheit

Stellenmarkt
  1. Hella Gutmann Solutions GmbH, Ihringen bei Freiburg im Breisgau
  2. Schwarz Zentrale Dienste KG, Heilbronn

Nutzer von Linux-Distributionen wie Debian installieren ihre Software in der Regel über binäre Pakete und nicht direkt aus dem Quellcode, was ohne größere Umstände klappt, weil das Paketsystem Abhängigkeiten auflöst und dadurch das langwierige Bauen aus dem Quellcode wegfällt. Es ist die Aufgabe der Debian-Entwickler und -Maintainer, diese vorgefertigten Debian-Pakete aus dem Quellcode der jeweiligen Software zu bauen.

Bislang lässt sich allerdings nur schwer feststellen, ob ein Binärpaket tatsächlich aus dem angegebenen Quellcode übersetzt wurde. Im Buildprozess stecken nämlich einige dynamische Elemente, die sich mit jedem Build ändern und die reproduzierbaren Ergebnisse unmöglich machen. Schmuggelt also jemand bösartigen Code in den Buildprozess ein, fällt dies bei den fertigen Binärpaketen unter Umständen nicht auf.

Das Reproducible-Builds-Projekt will das nicht nur für Debian ändern. Es gestaltet den Buildprozess gleichförmig genug, um später anhand der Checksumme einer Binärdatei festzustellen, ob diese tatsächlich bit-identisch mit dem zugrundeliegenden Quellcode ist.

Die Idee geht bereits zurück auf das Jahr 2007. Ab 2013, auch im Zuge der Snowden-Enthüllungen, nahm das Reproducible-Builds-Projekt Gestalt an, vor allem die Tor- und Bitcoin-Entwickler zeigten für ihre Software Interesse. Spätestens seit der Vorstellung des Projekts auf der Fosdem im Jahr 2015 beteiligte sich ein größeres Team an diesen Arbeiten. Finanzielle Unterstützung erhält das Projekt von der Core Infrastructure Initiative (CII) der Linux-Foundation oder auch von Unternehmen wie Profitbricks und Codethink.

Mittlerweile kann es laut der aktuellen Ankündigung einige Erfolge vorweisen: Nicht nur haben sich diverse andere Projekte vom Sinn des Ganzen überzeugen lassen, etwa Arch Linux, Fedora, Open Suse, Lede, Tails, Free BSD und Net BSD. Auch die Upstream-Projekte nehmen die Reproduzierbarkeit in ihre Buildüberlegungen auf, schreibt Debian-Entwickler Mattia Rizzolo in einer Mail auf Debians Developer-Announce-Liste. Es hat sicher geholfen, dass die Macher das Reproducible-Builds-Projekt und die dazugehörigen Tools sowie die Webseite so distributionsunabhängig wie möglich gestalten.

Arbeit für weitere Pakete

Zugleich liefert der Entwickler aktuelle Zahlen für Debian: Demnach lassen sich immerhin 23.347 Pakete für Debian 9 alias Stretch reproduzierbar übersetzen. Das entspricht den eingangs genannten 94 Prozent. Während sich 95 Pakete überhaupt nicht bauen lassen, schlägt die Reproduzierbarkeit noch bei 1.319 Paketen fehl.

Dank den Daten auf der Projekt-Webseite lässt sich für die meisten Pakete auch im Detail ermitteln, warum noch Fehler auftreten. Schuld sind häufig in den Prozess eingebaute Zeitstempel, die jeden Build ungewollt verändern. In vielen Fällen gibt es bereits Bugreports, in einigen auch Patches, die darauf warten, dass die Maintainer sie einbauen.

Auch für die anderen Plattformen sehen die Zahlen für Debian 9 gut aus. Auf der i386-Plattform sind 91 Prozent der Pakete reproduzierbar, auf Arm64 gar 93 Prozent. Bei Armhf sind es immerhin rund 91 Prozent. Auch für Buster, die nächste Debian-Version, sehen die Zahlen ähnlich aus. Auf der Debconf 2017 dürfte das Thema und die dafür entstandenen Werkzeuge, etwa Diffoscope, Debrepro und Reprotest, eine Rolle spielen. Unter anderem ist ein Vortrag zu alternativen Möglichkeiten für das im Buildprozess zentrale .buildinfo-File geplant, denn hier ergeben sich nun auch neue Möglichkeiten, etwa für die Qualitätssicherung.



Anzeige
Blu-ray-Angebote
  1. (u. a. Logan, John Wick, Alien Covenant, Planet der Affen Survival)
  2. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

Hello_World 26. Jul 2017

Natürlich ist ein reproduzierbarer Build prinzipiell wünschenswert, das bestreitet doch...

JTR 25. Jul 2017

Wenn man die Bosonenschwingungen anschaut ist es eher fraglich ob so ein theoretisches...


Folgen Sie uns
       


Amazons Echo Show (2018) - Test

Wir haben den neuen Echo Show getestet. Der smarte Lautsprecher mit Display profitiert enorm von dem größeren Touchscreen - im Vergleich zum Vorgängermodell. Die Bereitstellung von Browsern erweitert den Funktionsumfang des smarten Displays.

Amazons Echo Show (2018) - Test Video aufrufen
Apple Mac Mini (Late 2018) im Test: Tolles teures Teil - aber für wen?
Apple Mac Mini (Late 2018) im Test
Tolles teures Teil - aber für wen?

Der Mac Mini ist ein gutes Gerät, wenngleich der Preis für die Einstiegsvariante von Apple arg hoch angesetzt wurde und mehr Speicher(platz) viel Geld kostet. Für 4K-Videoschnitt eignet sich der Mac Mini nur selten und generell fragen wir uns, wer ihn kaufen soll.
Ein Test von Marc Sauter

  1. Apple Mac Mini wird grau und schnell
  2. Neue Produkte Apple will Mac Mini und Macbook Air neu auflegen

Mars Insight: Nasa hofft auf Langeweile auf dem Mars
Mars Insight
Nasa hofft auf Langeweile auf dem Mars

Bei der Frage, wie es im Inneren des Mars aussieht, kann eine Raumsonde keine spektakuläre Landschaft gebrauchen. Eine möglichst langweilige Sandwüste wäre den beteiligten Wissenschaftlern am liebsten. Der Nasa-Livestream zeigte ab 20 Uhr MEZ, dass die Suche nach der perfekten Langeweile tatsächlich gelang.

  1. Astronomie Flüssiges Wasser auf dem Mars war Messfehler
  2. Mars Die Nasa gibt den Rover nicht auf
  3. Raumfahrt Terraforming des Mars ist mit heutiger Technik nicht möglich

Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
Drahtlos-Headsets im Test
Ohne Kabel spielt sich's angenehmer

Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
Ein Test von Oliver Nickel

  1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
  2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
  3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

    •  /