Niebawem Debian będzie mógł udowodnić, że jest wolny od furtek w binarnych plikach
Zeszłoroczna afera wokółTrueCrypta sprawiła, że na poważniej zaczęto się zastanawiać nadtym, czy binarne kompilacje otwartego oprogramowania na pewnopowstają z udostępnionego przez jego autorów kodu źródłowego. Wydawaćby się mogło, że nic prostszego, niż po prostu skompilowaćdostarczony kod i porównać uzyskaną binarkę z tym, co dostępne jest wrepozytorium czy na stronie internetowej – ale w rzeczywistościwcale nie jest tak prosto. Na efekt wynikowy wpływa całe środowiskokompilacji, w szczególności wersja zastosowanych narzędzi, ścieżkidostępu, nazwy hostów, a nawet takie drobiazgi jak wybranalokalizacja i uporządkowanie plików. Zazwyczaj więc po samodzielnymskompilowaniu kodu dostaniemy coś innego, niż dostarczają jegoautorzy. Jak więc ufać otwartemu oprogramowaniu, szczególnie temu,które związane jest z bezpieczeństwem i szyfrowaniem? Jak uzyskaćpewność, że w binariach nie ma furtek wprowadzonych tam przez NSA? Naszczęście nie jesteśmy w sytuacji beznadziejnej. Deweloperzy Debianasą bliscy ukończenia prac nad mechanizmem powtarzalnych kompilacji,pozwalającemu każdemu samodzielnie sprawdzić, czy dostarczane binariazostały faktycznie skompilowane z opublikowanego kodu źródłowego.
Micah Lee, redaktor serwisu The Intercept, poinformował naTwitterze, że już niebawem Debian będzie pierwszym systememoperacyjnym, który będzie taki dowód „czystości”skompilowanego kodu przedstawić swoim użytkownikom. To zasługa ludzidziałających w projekcie Reproducible Builds. Ich motto brzmi:powinno być możliwe odtworzenie bajt po bajcie każdej kompilacjikażdego pakietu Debiana. Nietrywialne to zadanie, gdyż mowa jesto ponad 17 tysiącach pakietów, znajdujących się w oficjalnychrepozytoriach tego wolnego systemu operacyjnego. A jednak wyniki sąbardzo obiecujące – w taki deterministyczny i jednoznacznysposób można odtworzyć już ponad 83% z nich.
Soon @debian could be the first OS that can prove that its binaries were compiled from published source code pic.twitter.com/RjaNYiBkwI
— Micah Lee (@micahflee) luty 22, 2015Pracując nad systemem powtarzalnych kompilacji, deweloperzywprowadzili specjalny sposób zapisu wszystkich informacji ośrodowisku, w jakim dany pakiet był budowany. To plik .buildinfo,naśladujący w swojej strukturze plik .change, używany doodnotowywania zmian wprowadzonych w nowej wersji pakietu. Znajdziemyw nim dane o ścieżkach kompilacji, skróty kryptograficzne plikówźródłowych, numery wersji, wersje narzędzi itp. Plik ten zostajenastępnie podpisany cyfrowo kluczami deweloperów Debiana, którzyzdołali osobiście odtworzyć binarkę, wykorzystując zawarte w.buildinfo wiadomości. Podpisy te, gromadzone w oddzielnych plikach,stanowią gwarancję dla użytkowników, że zaufani programiści ufajądanej binarce.
Oczywiście nie ma przymusu ufania deweloperom Debiana. Na stronieprojektu znajdują się szczegółowewyjaśnienia, jak samemu zbudować deterministyczną kompilację. Wtym celu wykorzystywane są zmodyfikowane wersje mechanizmu CommonDebian Build System i jego programów pomocniczych, jak równieżinnych elementów infrastruktury kompilacji i budowania pakietów naDebianie. Deweloperzy przygotowali też odpowiednie narzędzia doposzczególnych języków programowania (w tym Pythona i Javy) ipopularnych bibliotek (na czele z Qt). Większość zmian wiąże się zezmianami w obsłudze czasoznaczków czy porządku sortowania plików i wbliskiej przyszłości trafić ma do standardowej wersji infrastruktury.
Powtarzalne kompilacje wyrastają na kolejną fundamentalną cechęDebiana. Przygotowano m.in. narzędzie debbindiff, pozwalające nadogłębną analizę różnic pomiędzy binarnymi pakietami, pakiety sądwukrotnie budowane na platformie jenkins.debian.net, a informacje opowtarzalności kompilacji są zgłaszane w trackerze pakietówdystrybucji. Zespół odpowiedzialny za tę inicjatywę chciałby, bypowtarzalne kompilacje stały się domyślnym celem dla „Stretcha”,następnej po Debianie 8 „Jessie” stabilnej wersjisystemu.
Dla większości użytkowników sprawa ta nie ma oczywiście większegoznaczenia. Ma ona jednak kolosalne znaczenie dla deweloperów wolnego iotwartego oprogramowania, dając im narzędzia pozwalające nazweryfikowanie binarnych pakietów i zagwarantowanie, że osobypobierające np. pakiety Tora czy GPG nie otrzymają w nich jakiejśnieciekawej niespodzianki.
