Abo
  • Services:
Anzeige
Stimmt der Quellcode mit dem Binärcode überein?
Stimmt der Quellcode mit dem Binärcode überein? (Bild: Hanno Böck/OpenSSL-Code)

Softwaresicherheit: Vertrauen durch reproduzierbare Build-Prozesse

Stimmt der Quellcode mit dem Binärcode überein?
Stimmt der Quellcode mit dem Binärcode überein? (Bild: Hanno Böck/OpenSSL-Code)

Freie Software wirbt mit dem Versprechen, dass jeder den Quellcode prüfen kann. Doch wie kann garantiert werden, dass die verteilte Software wirklich aus den angegebenen Quellen stammt? Debian will hierfür reproduzierbare Build-Prozesse einführen.

Anzeige

Das Argument ist bekannt: Freie Software kann sicherer und vertrauenswürdiger sein, weil theoretisch jeder einen Blick in den Quellcode werfen kann. Somit kann die Funktionalität einer Software unabhängig geprüft werden. Das Verstecken von Hintertüren ist zwar nicht ausgeschlossen, aber die Hoffnung besteht, dass jede Hintertür früher oder später auffliegt.

Vertrauenslücke zwischen Quellcode und Binärcode

Doch dieses Vertrauensmodell der freien Software hat ein Problem: Die wenigsten Anwender kompilieren ihre Software selbst. Stattdessen lädt man üblicherweise vorkompilierte Binärsoftware herunter, beispielsweise von einer Linux-Distribution. Ob dieses Binärpaket wirklich aus dem dazu mitgelieferten Quellcode stammt, kann ein Anwender nicht wissen. Wenn man versucht, eine Software selbst zu kompilieren und mit dem ausgelieferten Binärcode zu vergleichen, gibt es fast immer Unterschiede, da der Kompiliervorgang von vielen Details des benutzten Systems abhängt.

Holger Levsen und Lunar vom Debian-Projekt wollen die Vertrauenslücke zwischen Quellcode und Binärpaketen schließen. Ihr Ziel: Künftige Debian-Versionen sollen sogenannte reproduzierbare Builds liefern, die es jedem Anwender des Systems ermöglichen, den Compile-Vorgang von Paketen nachzuvollziehen und zu prüfen. Das Paket, das ein reproduzierbarer Build-Prozess liefert, soll dabei bitidentisch mit dem originalen Debian-Paket sein. Auf der Fosdem 2015 berichteten die Debian-Entwickler über die ersten Erfahrungen des Projekts.

Debian ist nicht das erste Projekt, das sich Gedanken über reproduzierbare Builds macht. Vorreiter waren vielmehr Bitcoin und das Tor-Projekt. Beide Projekte nutzen bereits einen reproduzierbaren Build-Prozess. Doch die Idee ist schon viel älter. Lunar fand Posts auf Debian-Mailinglisten aus den Jahren 2007 und sogar 2000, in denen derartige Konzepte bereits diskutiert wurden, doch umgesetzt hat sie damals niemand.

Angst vor bösartigem Bitcoin-Client

Bei Bitcoin stand die Befürchtung im Raum, dass der Bitcoin-Client angesichts der Milliardensummen, die inzwischen in Bitcoin umgesetzt werden, ein attraktives Ziel für bösartige Angreifer darstellt. So könnte ein manipulierter Bitcoin-Client dafür sorgen, dass heimlich Geld von einem Nutzer auf ein anderes Konto gebucht wird. Durch die Bitcoin-Technologie wäre ein solcher Geldtransfer nicht revidierbar. Wenn der Computer eines Entwicklers gehackt würde, so die Befürchtung, könnte der verantwortliche Entwickler große Schwierigkeiten bekommen, weil viele betroffene Nutzer möglicherweise nicht glauben würden, dass es sich um einen Angriff durch Unbekannte handelt. Reproduzierbare Builds dienen also auch dazu, die Entwickler vor derartigen Anschuldigungen zu schützen.

Bitcoin und der Tor-Browser nutzen zurzeit ein System namens Gitian für reproduzierbare Builds. Dafür wird der Build-Vorgang in einer virtuellen Maschine mit einer manipulierten Zeit durchgeführt. Das gesamte Verfahren ist relativ komplex und auch zeitaufwendig. Es ist für Einzelprojekte praktikabel, doch die Debian-Entwickler streben ein deutlich einfacheres Verfahren an.

Die Grundidee ist simpel: Jedes Paket liefert Informationen darüber mit, mit welchen Versionen der entsprechenden Abhängigkeiten es kompiliert wurde, samt einer Prüfsumme der entsprechenden Pakete. Ein Nutzer kann dann diese Abhängigkeiten installieren und den Build-Prozess nachvollziehen. Doch um das möglich zu machen, gibt es einige Hürden. Denn die Build-Prozesse integrieren viele Details, die sich von System zu System unterscheiden. Das Ziel: Alle Unterschiede im Build-Vorgang, die keinen direkten Zweck haben, sollen eliminiert werden.

Unter Debian stehen dafür verschiedene Tools bereit, die dabei helfen sollen. Ein Skript mit dem Namen strip-nondeterminism entfernt unnötige Informationen aus verschiedenen Dateien. Außerdem sortiert es die Dateien in ZIP-Archiven und anderen Archivformaten. Weiterhin gibt es ein Hilfsskript, debbindiff, das zwei Debian-Pakete vergleicht und anzeigt, warum sie sich unterscheiden.

Pakete zweimal bauen und vergleichen 

eye home zur Startseite
EQuatschBob 04. Feb 2015

Sind sie meines Wissens nach nicht. Die Leute von F-Droid.org arbeiten wohl daran, sind...

EQuatschBob 04. Feb 2015

Sobald die FOSDEM-Leute die Videos ins Netz stellen, siehst Du was Holger und Lunar alles...

EQuatschBob 04. Feb 2015

Reproducible Builds schaffen definitiv keine "absolute Sicherheit". Aber das Erstellen...

MarioWario 02. Feb 2015

Nicht ohne Grund die größte und wichtigste Linux-Distribution, die haben es wirklich...



Anzeige

Stellenmarkt
  1. Ratbacher GmbH, Wuppertal
  2. Bayerisches Landesamt für Gesundheit und Lebensmittelsicherheit, Bad Kissingen
  3. StatSoft (Europe) GmbH, Hamburg
  4. Schwarz Dienstleistung KG, Neckarsulm


Anzeige
Spiele-Angebote
  1. 8,99€
  2. 9,99€
  3. 199,99€ - Release 13.10.

Folgen Sie uns
       


  1. Sparc M8

    Oracles neuer Chip ist 40 Prozent schneller

  2. Cloud

    IBM bringt die Datenmigration im 120-Terabyte-Koffer

  3. Fire HD 10

    Amazon bringt 10-Zoll-Full-HD-Tablet mit Alexa für 160 Euro

  4. Watson

    IBMs Supercomputer stellt sich dumm an

  5. Techbold

    Mining-Komplett-PCs mit bis zu 256 MH/s

  6. Aquaris-V- und U2-Reihe

    BQ stellt neue Smartphones ab 180 Euro vor

  7. Landkreis Südwestpfalz

    Telekom baut FTTH für Gewerbe und Vectoring für Haushalte

  8. Microsoft

    Gute Store-Apps sollen besseren Marketingstatus erhalten

  9. Zukunft des Autos

    "Unsere Elektrofahrzeuge sollen typische Porsche sein"

  10. PC-Wahl

    CCC patcht Wahlsoftware selbst



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Energiespeicherung: Wasserstoff soll in Öl gespeichert werden
Energiespeicherung
Wasserstoff soll in Öl gespeichert werden
  1. Phytomining Wenn die Metalle für Technik vom Acker kommen
  2. Röntgenlaser Der Xfel wird eröffnet
  3. Cern LHC-Forscher finden Hinweise auf Photonenkollisionen

DeepL im Hands on: Neues Tool übersetzt viel besser als Google und Microsoft
DeepL im Hands on
Neues Tool übersetzt viel besser als Google und Microsoft
  1. Zitis Bundeshacker im Verzug
  2. Linksextremismus Innenminister macht Linksunten.indymedia dicht
  3. Provider Dreamhost will keine Daten von Trump-Gegnern herausgeben

Bundestagswahl 2017: Wen macht der Datenreichtum wirklich reich?
Bundestagswahl 2017
Wen macht der Datenreichtum wirklich reich?
  1. Sicherheitslücken Regierung prüft neue Vorgaben für Wahlsoftware
  2. PC-Wahl Deutsche Wahlsoftware ist extrem unsicher
  3. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"

  1. Gibt es Solaris / Sparc Malware?

    M.P. | 15:31

  2. Re: Meine Vision sieht anders aus...

    quineloe | 15:30

  3. Re: Skynet

    danielmain | 15:29

  4. Re: Unfähige Firma

    ibsi | 15:28

  5. Re: Das löst das Problem nicht wirklich

    matzems | 15:27


  1. 15:21

  2. 15:12

  3. 15:00

  4. 14:00

  5. 13:59

  6. 13:20

  7. 13:10

  8. 12:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel