Reproducible builds

A talk about reproducible builds in Open Source world given at 13th Linux Session in Wrocław.

Language: Polish

Transcript

1. Reproducible builds Bartłomiej Piotrowski 13. Sesja Linuksowa
3. kod źródłowy plik binarny kompilacja
4. kod źródłowy plik binarny kompilacja wolność uruchamiania programu wolność analizy kodu
5. kod źródłowy plik binarny kompilacja ./plik możliwość audytu
7. „Ale to ja napisałem ten kod!”
8. „Ale to ja napisałem ten kod!” „Wiem co jest w pliku binarnym, bo sam go zbudowałem.”
9. „Ale to ja napisałem ten kod!” „Wiem co jest w pliku binarnym, bo sam go zbudowałem.” „Nie jestem ciekawym celem ataku.”
10. „Ale to ja napisałem ten kod!” „Wiem co jest w pliku binarnym, bo sam go zbudowałem.” „Nie jestem ciekawym celem ataku.” „Mój serwer do kompilacji jest bezpieczny.”
11. Jak mały może być backdoor? OpenSSH 3.0.2 (CVE-2002-0083) przekroczenie uprawnień { Channel *c; - if (id < 0 || id > channels_alloc) { + if (id < 0 || id >= channels_alloc) { log("channel_lookup: %d: bad id", id); return; }
12. cmpl $0x0, 0x8(%ebp) js 16 mov 0x4, %eax cmp %eax, 0x8(%ebp) jle 30 mov 0x8(%ebp), %eax mov %eax, 0x4(%esp) movl $0x4c, (%esp) call 25 cmpl $0x0, 0x8(%ebp) js 16 mov 0x4, %eax cmp %eax, 0x8(%ebp) jl 30 mov 0x8(%ebp), %eax mov %eax, 0x4(%esp) movl $0x4c, (%esp) call 25
13. cmpl $0x0, 0x8(%ebp) js 16 mov 0x4, %eax cmp %eax, 0x8(%ebp) jle 30 mov 0x8(%ebp), %eax mov %eax, 0x4(%esp) movl $0x4c, (%esp) call 25 cmpl $0x0, 0x8(%ebp) js 16 mov 0x4, %eax cmp %eax, 0x8(%ebp) jl 30 mov 0x8(%ebp), %eax mov %eax, 0x4(%esp) movl $0x4c, (%esp) call 25
14. Assembler: JLE JL Opcode: 0x7E 0x7C binarnie 01111110 01111100 Jeden bit! (w 500kB pliku)
16. Rozwiązanie: umożliwić każdemu użytkownikowi “powtórzenie” identycznego pakietu z danego źródła
17. reproducible builds
19. From: Edmund GRIMLEY EVANS <edmundo@rano.org> Date: Wed, 22 Nov 2000 09:18:56 +0000 Do Debian's autobuilders compile repeatedly until the system converges? If so, how do they detect convergence?
20. From: Martin Uecker <muecker@gmx.de> Date: Sun, 23 Sep 2007 23:32:59 +0200 I think it would be really cool if the Debian policy required that packages could be rebuild bit-identical from source.
21. Jak? • Zapisanie informacji o środowisku kompilacyjnym • Odtworzenie identycznego środowiska • Eliminacja wariacji
22. Eliminacja wariacji • Budowa pakietu #1 • Zmiana środowiska • Budowa pakietu #2 • Porównanie obu pakietów
23. 87%
24. 87% (dla amd64)
25. 87% (dla amd64) w Debianie!
26. 0%
29. archive.archlinux.org
33. Problem nr 1: czas modyfikacji plików w archiwum tar --mtime='2016-04-03' cf \ archiwum.tar katalog/
34. Problem nr 2: kolejność plików w archiwum tar --sort=name cf \ archiwum.tar katalog/
35. Problem nr 3: locale
37. Stałe początkowe wartości zmiennych static int write_binary (FILE *out, FILE *in, struct bimg_header *hdr) { static uint8_t file_buf[MAX_RECORD_BYTES]; struct bimg_data_header data_hdr; size_t n_written; data_hdr.dest_addr = hdr->entry_addr; …
38. Stałe początkowe wartości zmiennych static int write_binary (FILE *out, FILE *in, struct bimg_header *hdr) { static uint8_t file_buf[MAX_RECORD_BYTES]; struct bimg_data_header data_hdr = {0}; size_t n_written; data_hdr.dest_addr = hdr->entry_addr; …
42. • Stała kolejność argumentów
43. • Stała kolejność argumentów • Jawna inicjalizacja wartości
44. • Stała kolejność argumentów • Jawna inicjalizacja wartości • Deterministyczne wersjonowanie
45. • Stała kolejność argumentów • Jawna inicjalizacja wartości • Deterministyczne wersjonowanie • Locale – sortowanie – format daty I czasu – domyślne kodowanie
46. • Czas utworzenia/modyfikacji plików – SOURCE_DATE_EPOCH – Libfaketime
47. • Czas utworzenia/modyfikacji plików – SOURCE_DATE_EPOCH – Libfaketime • Strefa czasowa – Unit tests fail when run in Australia (Bug #5017 w angular.js)
48. • Czas utworzenia/modyfikacji plików – SOURCE_DATE_EPOCH – Libfaketime • Strefa czasowa – Unit tests fail when run in Australia (Bug #5017 w angular.js) • Sortowanie słowników
51. Domo arigato! • Debian “Reproducible Builds” Team – Jérémy Bobbio (Lunar), Holger Levsen • Levente Polyak Bartłomiej Piotrowski bpiotrowski@archlinux.org bpiotrowski@alpinelinux.org