Arch Linux делает свой образ WSL полностью воспроизводимым между сборками

Arch Linux сделал свой официальный образ WSL полностью воспроизводимым, обеспечивая побитово идентичные сборки с использованием архивных репозиториев и нормализованных отметок времени.

Проект Arch Linux достиг важного рубежа в инфраструктуре, сделав официальный образ для Windows Subsystem for Linux полностью воспроизводимым.

Проще говоря, это означает, что изображение теперь создано таким образом, чтобы каждый раз давать точно такой же результат. Если изображение будет перестроено позже с использованием того же исходного материала, оно будет идентичным до последнего бита.

Для обычных пользователей преимущество заключается в основном в доверии и надежности. Становится гораздо проще проверить, что загружаемое вами изображение не было изменено, подделано или случайно изменено в процессе сборки.

Это также снижает риск скрытых проблем сборки, которые могут привести к мелким ошибкам или проблемам с безопасностью. Хотя внешний вид и поведение Arch Linux WSL после установки не меняются, процесс его создания теперь стал более прозрачным и надежным.

Для достижения этой цели команда Arch Linux убрала многие источники случайности из процесса сборки. Установка пакетов теперь выполняется с использованием фиксированного снимка из Архива Arch Linux, что гарантирует использование одних и тех же версий пакетов при сборке конкретного образа. Везде применяется единая эталонная временная метка, что предотвращает различия, вызванные временем сборки.

Кроме того, временные метки файлов внутри файловой системы нормализованы, поэтому они больше не зависят от того, когда был создан образ. Журналы Pacman, которые обычно записывают события с привязкой ко времени, исключаются при создании образа, чтобы избежать включения ненужных и изменяющихся данных.

Кроме того, недавние улучшения в Pacman также позволяют дате установки пакетов, хранящейся в его локальной базе данных, использовать тот же фиксированный временной штамп, устраняя еще один источник вариаций.

Наконец, снова отметим, что хотя изменения не видны пользователям в повседневной работе, они представляют собой значительное улучшение доверия, безопасности и прозрачности цепочки поставок. Теперь любой может самостоятельно пересобрать образ Arch Linux WSL и убедиться, что он полностью соответствует официальному выпуску.

Для получения дополнительной информации см. объявление в рассылке Arch.