• IT-Karriere:
  • Services:

Softwaresicherheit: Vertrauen durch reproduzierbare Build-Prozesse

Freie Software wirbt mit dem Versprechen, dass jeder den Quellcode prüfen kann. Doch wie kann garantiert werden, dass die verteilte Software wirklich aus den angegebenen Quellen stammt? Debian will hierfür reproduzierbare Build-Prozesse einführen.

Artikel veröffentlicht am , Hanno Böck
Stimmt der Quellcode mit dem Binärcode überein?
Stimmt der Quellcode mit dem Binärcode überein? (Bild: Hanno Böck/OpenSSL-Code)

Das Argument ist bekannt: Freie Software kann sicherer und vertrauenswürdiger sein, weil theoretisch jeder einen Blick in den Quellcode werfen kann. Somit kann die Funktionalität einer Software unabhängig geprüft werden. Das Verstecken von Hintertüren ist zwar nicht ausgeschlossen, aber die Hoffnung besteht, dass jede Hintertür früher oder später auffliegt.

Vertrauenslücke zwischen Quellcode und Binärcode

Inhalt:
  1. Softwaresicherheit: Vertrauen durch reproduzierbare Build-Prozesse
  2. Pakete zweimal bauen und vergleichen

Doch dieses Vertrauensmodell der freien Software hat ein Problem: Die wenigsten Anwender kompilieren ihre Software selbst. Stattdessen lädt man üblicherweise vorkompilierte Binärsoftware herunter, beispielsweise von einer Linux-Distribution. Ob dieses Binärpaket wirklich aus dem dazu mitgelieferten Quellcode stammt, kann ein Anwender nicht wissen. Wenn man versucht, eine Software selbst zu kompilieren und mit dem ausgelieferten Binärcode zu vergleichen, gibt es fast immer Unterschiede, da der Kompiliervorgang von vielen Details des benutzten Systems abhängt.

Holger Levsen und Lunar vom Debian-Projekt wollen die Vertrauenslücke zwischen Quellcode und Binärpaketen schließen. Ihr Ziel: Künftige Debian-Versionen sollen sogenannte reproduzierbare Builds liefern, die es jedem Anwender des Systems ermöglichen, den Compile-Vorgang von Paketen nachzuvollziehen und zu prüfen. Das Paket, das ein reproduzierbarer Build-Prozess liefert, soll dabei bitidentisch mit dem originalen Debian-Paket sein. Auf der Fosdem 2015 berichteten die Debian-Entwickler über die ersten Erfahrungen des Projekts.

Debian ist nicht das erste Projekt, das sich Gedanken über reproduzierbare Builds macht. Vorreiter waren vielmehr Bitcoin und das Tor-Projekt. Beide Projekte nutzen bereits einen reproduzierbaren Build-Prozess. Doch die Idee ist schon viel älter. Lunar fand Posts auf Debian-Mailinglisten aus den Jahren 2007 und sogar 2000, in denen derartige Konzepte bereits diskutiert wurden, doch umgesetzt hat sie damals niemand.

Angst vor bösartigem Bitcoin-Client

Stellenmarkt
  1. Schmidt + Clemens GmbH + Co. KG, Lindlar
  2. AdS Consulting GmbH, Aschaffenburg

Bei Bitcoin stand die Befürchtung im Raum, dass der Bitcoin-Client angesichts der Milliardensummen, die inzwischen in Bitcoin umgesetzt werden, ein attraktives Ziel für bösartige Angreifer darstellt. So könnte ein manipulierter Bitcoin-Client dafür sorgen, dass heimlich Geld von einem Nutzer auf ein anderes Konto gebucht wird. Durch die Bitcoin-Technologie wäre ein solcher Geldtransfer nicht revidierbar. Wenn der Computer eines Entwicklers gehackt würde, so die Befürchtung, könnte der verantwortliche Entwickler große Schwierigkeiten bekommen, weil viele betroffene Nutzer möglicherweise nicht glauben würden, dass es sich um einen Angriff durch Unbekannte handelt. Reproduzierbare Builds dienen also auch dazu, die Entwickler vor derartigen Anschuldigungen zu schützen.

Bitcoin und der Tor-Browser nutzen zurzeit ein System namens Gitian für reproduzierbare Builds. Dafür wird der Build-Vorgang in einer virtuellen Maschine mit einer manipulierten Zeit durchgeführt. Das gesamte Verfahren ist relativ komplex und auch zeitaufwendig. Es ist für Einzelprojekte praktikabel, doch die Debian-Entwickler streben ein deutlich einfacheres Verfahren an.

Die Grundidee ist simpel: Jedes Paket liefert Informationen darüber mit, mit welchen Versionen der entsprechenden Abhängigkeiten es kompiliert wurde, samt einer Prüfsumme der entsprechenden Pakete. Ein Nutzer kann dann diese Abhängigkeiten installieren und den Build-Prozess nachvollziehen. Doch um das möglich zu machen, gibt es einige Hürden. Denn die Build-Prozesse integrieren viele Details, die sich von System zu System unterscheiden. Das Ziel: Alle Unterschiede im Build-Vorgang, die keinen direkten Zweck haben, sollen eliminiert werden.

Unter Debian stehen dafür verschiedene Tools bereit, die dabei helfen sollen. Ein Skript mit dem Namen strip-nondeterminism entfernt unnötige Informationen aus verschiedenen Dateien. Außerdem sortiert es die Dateien in ZIP-Archiven und anderen Archivformaten. Weiterhin gibt es ein Hilfsskript, debbindiff, das zwei Debian-Pakete vergleicht und anzeigt, warum sie sich unterscheiden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Pakete zweimal bauen und vergleichen 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. (u. a. I See You, Broken City, Attraction & Attraction 2, Amundsen: Wettlauf zum Südpol, Coma, Red...
  2. (u. a. Philips Ambilight 50PUS6704/12 für 339,99€, Philips Ambilight 65PUS6704/12 für 629,99€)
  3. 19,99€ (Vergleichspreis 46€)
  4. (u. a. QNAP TS-231P NAS-Gehäuse für 192,90€, Intenso 16GB Speicherkarte für 2,99€, Nordisk...

EQuatschBob 04. Feb 2015

Sind sie meines Wissens nach nicht. Die Leute von F-Droid.org arbeiten wohl daran, sind...

EQuatschBob 04. Feb 2015

Sobald die FOSDEM-Leute die Videos ins Netz stellen, siehst Du was Holger und Lunar alles...

EQuatschBob 04. Feb 2015

Reproducible Builds schaffen definitiv keine "absolute Sicherheit". Aber das Erstellen...

MarioWario 02. Feb 2015

Nicht ohne Grund die größte und wichtigste Linux-Distribution, die haben es wirklich...


Folgen Sie uns
       


Samsung Galaxy Z Flip - Hands on

Das Galaxy Z Flip ist Samsungs zweites Smartphone mit faltbarem Display - und besser gelungen als das Galaxy Fold.

Samsung Galaxy Z Flip - Hands on Video aufrufen
Change-Management: Wie man Mitarbeiter mitnimmt
Change-Management
Wie man Mitarbeiter mitnimmt

Wenn eine Firma neue Software einführt oder Prozesse digitalisiert, stößt sie intern oft auf Skepsis. Häufig heißt es dann, man müsse "die Mitarbeiter mitnehmen" - aber wie?
Von Markus Kammermeier

  1. Digitalisierung in Deutschland Wer stand hier "auf der Leitung"?
  2. Workflows Wenn Digitalisierung aus 2 Papierseiten 20 macht
  3. Digitalisierung Aber das Faxgerät muss bleiben!

Energieversorgung: Wasserstoff-Fabrik auf hoher See
Energieversorgung
Wasserstoff-Fabrik auf hoher See

Um überschüssigen Strom sinnvoll zu nutzen, sollen in der Nähe von Offshore-Windparks sogenannte Elektrolyseure installiert werden. Der dort produzierte Wasserstoff wird in bestehende Erdgaspipelines eingespeist.
Ein Bericht von Wolfgang Kempkens

  1. Industriestrategie EU plant Allianz für sauberen Wasserstoff
  2. Energie Dieses Blatt soll es wenden
  3. Energiewende Grüner Wasserstoff aus der Zinnschmelze

Corona: Japans Krankenhäuser steigen endlich von Fax auf E-Mail um
Corona
Japans Krankenhäuser steigen endlich von Fax auf E-Mail um

In Japan löst die Coronakrise einen Modernisierungsschub aus. Den Ärzten in den Krankenhäusern fehlt die Zeit für das manuelle Ausfüllen von Formularen.
Ein Bericht von Felix Lill

  1. Corona IFA 2020 findet doch als physisches Event statt
  2. Corona Pariser Polizei darf keine Drohnen zur Überwachung verwenden
  3. Coronapandemie Wie wir fliegen werden

    •  /