• IT-Karriere:
  • Services:

Softwaresicherheit: Vertrauen durch reproduzierbare Build-Prozesse

Freie Software wirbt mit dem Versprechen, dass jeder den Quellcode prüfen kann. Doch wie kann garantiert werden, dass die verteilte Software wirklich aus den angegebenen Quellen stammt? Debian will hierfür reproduzierbare Build-Prozesse einführen.

Artikel veröffentlicht am , Hanno Böck
Stimmt der Quellcode mit dem Binärcode überein?
Stimmt der Quellcode mit dem Binärcode überein? (Bild: Hanno Böck/OpenSSL-Code)

Das Argument ist bekannt: Freie Software kann sicherer und vertrauenswürdiger sein, weil theoretisch jeder einen Blick in den Quellcode werfen kann. Somit kann die Funktionalität einer Software unabhängig geprüft werden. Das Verstecken von Hintertüren ist zwar nicht ausgeschlossen, aber die Hoffnung besteht, dass jede Hintertür früher oder später auffliegt.

Vertrauenslücke zwischen Quellcode und Binärcode

Inhalt:
  1. Softwaresicherheit: Vertrauen durch reproduzierbare Build-Prozesse
  2. Pakete zweimal bauen und vergleichen

Doch dieses Vertrauensmodell der freien Software hat ein Problem: Die wenigsten Anwender kompilieren ihre Software selbst. Stattdessen lädt man üblicherweise vorkompilierte Binärsoftware herunter, beispielsweise von einer Linux-Distribution. Ob dieses Binärpaket wirklich aus dem dazu mitgelieferten Quellcode stammt, kann ein Anwender nicht wissen. Wenn man versucht, eine Software selbst zu kompilieren und mit dem ausgelieferten Binärcode zu vergleichen, gibt es fast immer Unterschiede, da der Kompiliervorgang von vielen Details des benutzten Systems abhängt.

Holger Levsen und Lunar vom Debian-Projekt wollen die Vertrauenslücke zwischen Quellcode und Binärpaketen schließen. Ihr Ziel: Künftige Debian-Versionen sollen sogenannte reproduzierbare Builds liefern, die es jedem Anwender des Systems ermöglichen, den Compile-Vorgang von Paketen nachzuvollziehen und zu prüfen. Das Paket, das ein reproduzierbarer Build-Prozess liefert, soll dabei bitidentisch mit dem originalen Debian-Paket sein. Auf der Fosdem 2015 berichteten die Debian-Entwickler über die ersten Erfahrungen des Projekts.

Debian ist nicht das erste Projekt, das sich Gedanken über reproduzierbare Builds macht. Vorreiter waren vielmehr Bitcoin und das Tor-Projekt. Beide Projekte nutzen bereits einen reproduzierbaren Build-Prozess. Doch die Idee ist schon viel älter. Lunar fand Posts auf Debian-Mailinglisten aus den Jahren 2007 und sogar 2000, in denen derartige Konzepte bereits diskutiert wurden, doch umgesetzt hat sie damals niemand.

Angst vor bösartigem Bitcoin-Client

Stellenmarkt
  1. TenneT TSO GmbH, Lehrte
  2. EBB Truck-Center GmbH, Baden-Baden

Bei Bitcoin stand die Befürchtung im Raum, dass der Bitcoin-Client angesichts der Milliardensummen, die inzwischen in Bitcoin umgesetzt werden, ein attraktives Ziel für bösartige Angreifer darstellt. So könnte ein manipulierter Bitcoin-Client dafür sorgen, dass heimlich Geld von einem Nutzer auf ein anderes Konto gebucht wird. Durch die Bitcoin-Technologie wäre ein solcher Geldtransfer nicht revidierbar. Wenn der Computer eines Entwicklers gehackt würde, so die Befürchtung, könnte der verantwortliche Entwickler große Schwierigkeiten bekommen, weil viele betroffene Nutzer möglicherweise nicht glauben würden, dass es sich um einen Angriff durch Unbekannte handelt. Reproduzierbare Builds dienen also auch dazu, die Entwickler vor derartigen Anschuldigungen zu schützen.

Bitcoin und der Tor-Browser nutzen zurzeit ein System namens Gitian für reproduzierbare Builds. Dafür wird der Build-Vorgang in einer virtuellen Maschine mit einer manipulierten Zeit durchgeführt. Das gesamte Verfahren ist relativ komplex und auch zeitaufwendig. Es ist für Einzelprojekte praktikabel, doch die Debian-Entwickler streben ein deutlich einfacheres Verfahren an.

Die Grundidee ist simpel: Jedes Paket liefert Informationen darüber mit, mit welchen Versionen der entsprechenden Abhängigkeiten es kompiliert wurde, samt einer Prüfsumme der entsprechenden Pakete. Ein Nutzer kann dann diese Abhängigkeiten installieren und den Build-Prozess nachvollziehen. Doch um das möglich zu machen, gibt es einige Hürden. Denn die Build-Prozesse integrieren viele Details, die sich von System zu System unterscheiden. Das Ziel: Alle Unterschiede im Build-Vorgang, die keinen direkten Zweck haben, sollen eliminiert werden.

Unter Debian stehen dafür verschiedene Tools bereit, die dabei helfen sollen. Ein Skript mit dem Namen strip-nondeterminism entfernt unnötige Informationen aus verschiedenen Dateien. Außerdem sortiert es die Dateien in ZIP-Archiven und anderen Archivformaten. Weiterhin gibt es ein Hilfsskript, debbindiff, das zwei Debian-Pakete vergleicht und anzeigt, warum sie sich unterscheiden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Pakete zweimal bauen und vergleichen 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 7,59€
  2. 6,99€

EQuatschBob 04. Feb 2015

Sind sie meines Wissens nach nicht. Die Leute von F-Droid.org arbeiten wohl daran, sind...

EQuatschBob 04. Feb 2015

Sobald die FOSDEM-Leute die Videos ins Netz stellen, siehst Du was Holger und Lunar alles...

EQuatschBob 04. Feb 2015

Reproducible Builds schaffen definitiv keine "absolute Sicherheit". Aber das Erstellen...

MarioWario 02. Feb 2015

Nicht ohne Grund die größte und wichtigste Linux-Distribution, die haben es wirklich...


Folgen Sie uns
       


Immortals Fenyx Rising - Fazit

Im Video zeigt Golem.de das Actionspiel Immortals Fenyx Rising.

Immortals Fenyx Rising - Fazit Video aufrufen
Librem Mini v2 im Test: Der kleine Graue mit dem freien Bios
Librem Mini v2 im Test
Der kleine Graue mit dem freien Bios

Der neue Librem Mini eignet sich nicht nur perfekt für Linux, sondern hat als einer von ganz wenigen Rechnern die freie Firmware Coreboot und einen abgesicherten Bootprozess.
Ein Test von Moritz Tremmel

  1. Purism Neuer Librem Mini mit Comet Lake
  2. Librem 14 Purism-Laptops bekommen 6 Kerne und 14-Zoll-Display
  3. Librem Mini Purism bringt NUC-artigen Mini-PC

Smarte Lautsprecher im Vergleichstest: Amazon hat den Besten
Smarte Lautsprecher im Vergleichstest
Amazon hat den Besten

Echo 4, Nest Audio, Echo Dot 4 oder Homepod Mini? Bei smarten Lautsprechern für maximal 100 Euro ist die Größe entscheidend.
Ein Test von Ingo Pakalski

  1. Smarter Lautsprecher Google zeigt Nest Audio für 100 Euro
  2. Harman Kardon Portabler Lautsprecher mit Google Assistant und Airplay 2
  3. Smarter Lautsprecher Google bestätigt offiziell neuen Nest-Lautsprecher

No One Lives Forever: Ein Retrogamer stirbt nie
No One Lives Forever
Ein Retrogamer stirbt nie

Kompatibilitätsprobleme und schlimme Sprachausgabe - egal. Golem.de hat den 20 Jahre alten Shooter-Klassiker No One Lives Forever trotzdem neu gespielt.
Von Benedikt Plass-Fleßenkämper

  1. Heimcomputer Retro Games plant Amiga-500-Nachbau
  2. Klassische Spielkonzepte Retro, brandneu
  3. Gaming-Handheld Analogue Pocket erscheint erst 2021

    •  /