Bonjour,
Je précise que je suis tout à novice sur ces questions.
Je suis utilisateur de openSuse et j'ai installé Void Linux sur un disque à part pour tester un peu. Comme c'est très minimaliste et que le système ne fournit pas un système clé en main (pas autant que openSuse en tout cas), je fouille un peu les paquets et les templates de construction de ces derniers.
Je me pose donc la question quant à la construction des paquets.
Si je prends comme exemple celui là : https://github.com/void-linux/void-packages/tree/master/srcpkgs/sqlite
C'est un fichier template pour expliquer comment le paquet doit être compilé est installé dans Void, si je comprends bien. Mais techniquement, ce template pourrait être tout a fait différent sur le serveur de build ? Si les logs du serveur ne sont pas public, qu'est qui nous garantit que les binaires de sqlite sont bien construit sur la base de ce template et sur la source officielle du dépôt sqlite ?
De manière générale, il y a des distributions qui proposent un moyen de vérifier ça ou il faut simplement leur faire confiance ?
Je ne cherche évidement pas à mettre en doute la crédibilité des distribution, juste à comprendre le fonctionnement derrière.
Merci pour vos explications.
# Reproducible builds
Posté par xenom . Évalué à 3 (+1/-0).
Bonjour,
Oui, cela se base beaucoup sur la confiance, et rien n’empêche d'avoir des templates ou des sources différentes dans le build que ce qui est annoncé. Pour les logs, certaines distributions les publient (exemple chez Ubuntu), mais pareil si on ne fais pas confiance aux build, pourquoi faire confiance aux logs.
L'approche principale pour ce problème sont les "reproducibles builds". Pouvoir avoir un binaire ou un paquet qui soit toujours exactement le même quel que soit le système qui le compile.
Certaines distributions avancent bien dessus comme Debian ou Nix, mais ça semble plutôt compliqué.
Avec des builds reproductibles, tu peux compiler toi même le paquet, avec les sources et le template, et comparer ce paquet avec celui des repos, et avoir exactement le même résultat.
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.