Oui, cela se base beaucoup sur la confiance, et rien n’empêche d'avoir des templates ou des sources différentes dans le build que ce qui est annoncé. Pour les logs, certaines distributions les publient (exemple chez Ubuntu), mais pareil si on ne fais pas confiance aux build, pourquoi faire confiance aux logs.
L'approche principale pour ce problème sont les "reproducibles builds". Pouvoir avoir un binaire ou un paquet qui soit toujours exactement le même quel que soit le système qui le compile.
Certaines distributions avancent bien dessus comme Debian ou Nix, mais ça semble plutôt compliqué.
Avec des builds reproductibles, tu peux compiler toi même le paquet, avec les sources et le template, et comparer ce paquet avec celui des repos, et avoir exactement le même résultat.
# Reproducible builds
Posté par xenom . En réponse au message Compilation des paquets : paquet vs template. Évalué à 3.
Bonjour,
Oui, cela se base beaucoup sur la confiance, et rien n’empêche d'avoir des templates ou des sources différentes dans le build que ce qui est annoncé. Pour les logs, certaines distributions les publient (exemple chez Ubuntu), mais pareil si on ne fais pas confiance aux build, pourquoi faire confiance aux logs.
L'approche principale pour ce problème sont les "reproducibles builds". Pouvoir avoir un binaire ou un paquet qui soit toujours exactement le même quel que soit le système qui le compile.
Certaines distributions avancent bien dessus comme Debian ou Nix, mais ça semble plutôt compliqué.
Avec des builds reproductibles, tu peux compiler toi même le paquet, avec les sources et le template, et comparer ce paquet avec celui des repos, et avoir exactement le même résultat.