Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В Arch Linux обеспечена воспроизводимая сборка образов контейнеров"	+/–
Сообщение от opennews (?), 20-Апр-26, 22:08
Дистрибутив Arch Linux обеспечил воспроизводимую сборку образов контейнеров, позволяющую убедиться, что поставляемые в образе бинарные файлы собраны из предоставляемого исходного кода и не содержат скрытых изменений. Воспроизводимые образы Arch Linux  размещены в Docker Hub с тегом repro. Любой желающий  может собрать из исходного кода образ контейнера бит в бит совпадающий с распространяемыми проектом готовыми образами, и убедиться, что сборочная инфраструктура дистрибутива, компилятор и сборочный инструментарий не скомпрометированы... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=65247
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от Профессор Кислвх Щей (?), 20-Апр-26, 22:35	+1 +/–
Правильно! Вот бы пакеты такие были
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #7

3. Сообщение от Аноним (3), 20-Апр-26, 22:48	–9 +/–
Не волнуйся, ради этого и делаются. В один прекрасный день ты узнаешь, что пакет с каким-нибудь dupes заменён на докер-контейнер на полгига, потому что "мешает болько б00мжам с музейными экспонатами i486", "надо двигаться дальше" и "есть более рациональные способы потратить время Сотрудников Дистрибутива, чем пердолинг с пакетами".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

5. Сообщение от Аноним (5), 21-Апр-26, 00:12	–7 +/–
Что только не придумают лишь бы пакеты из исходников не собирать.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8

7. Сообщение от Аноним (7), 21-Апр-26, 00:34	+/–
86.2% - https://reproducible.archlinux.org/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #10

8. Сообщение от Аноним (8), 21-Апр-26, 02:16	+7 +/–
А мы использованные пакеты пакуем в другие пакеты и кладём их в контейнеры. По утрам приезжает большая машина и освобождает контейнеры. И тогда мы снова кладём в них пакеты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #11, #18

10. Сообщение от Аноним (10), 21-Апр-26, 08:03    Скрыто ботом-модератором	–1 +/–
Это все чего они добились за 24 года?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

11. Сообщение от Аноним (10), 21-Апр-26, 08:04	+1 +/–
Лучше так чем лапша кода слипшаяся в один целый комок.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (12), 21-Апр-26, 09:57	+/–
Если нужно верифицировать пакет, то есть подписи. Зачем воспроизводимые сборки? Идентифицировать программы для трекинга?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15, #20, #22

13. Сообщение от sunjob (ok), 21-Апр-26, 10:03	–1 +/–
linux from scratch помноженный на gentoo
Ответить | Правка | Наверх | Cообщить модератору

14. Сообщение от Bob (??), 21-Апр-26, 10:14	+/–
Почему не сделать как с F-Droid? Воспроизводимый бинарник, с анализом сырцов? Недавно с Nekogram скандал был https://www.opennet.me/opennews/art.shtml?num=65130 и подход F-Droid позволил избежать бэкдора. Сейчас Arch собрал бы контейнер с бэкдором и выдал бы это за надёжное решение? - Потрясающе) p.s.: я понимаю Идею контейнеров, где с сырцов собираю аналог APK, который Везде Работает Полноценно. Но стоит добавить анализ самих сырцов, хотя бы через AI и делать минимальное ревью. p.p.s.: пересбор сырцов именно под Arch без контейнера просить - чрезмерно, понимаю. Разве что Вульву пинать, чтобы это всё тащила под свои Deck девайсы.
Ответить | Правка | Наверх | Cообщить модератору

15. Сообщение от Bob (??), 21-Апр-26, 10:23	+1 +/–
С одной стороны тут упор на то, что прога будет пахать одинаково полноценно на любом дистре с произвольн†м DE. Независимо от того под чем изначально пилилась. Но на счёт безопасности - попадёт бэкдор и его спокойно потащат везде, обеспечив бинарное соответствие и запускаемость как у exe на винде. Контейнер подписан - можно хоть на уровне ядра запускать)) Тут подход от F-Droid будет логичнее: сборка с сырцов заревьюренного apk под нужную архитектуру с полным набором зависимостей. Там и бэкдор выпилят (nekogram), и мусор выбросят (аналитика / реклама / метрики), и от всякой чертовщины отвяжут (gms). Родив действительно годный билд) Ещё дали им возможность split apk пилить - вообще имба была бы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #19

17. Сообщение от Аноним (20), 21-Апр-26, 11:12	+/–
Шёл 2026 год, а арчеводы переизобретают NixOS.
Ответить | Правка | Наверх | Cообщить модератору

18. Сообщение от Аноним (18), 21-Апр-26, 11:37	+/–
а как вы боретесь с пакетами, которые не помещаются в контейнеры?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

19. Сообщение от Хру (?), 21-Апр-26, 11:47	+/–
А чем не устраивает один апк под олну архитектуру?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

20. Сообщение от Аноним (20), 21-Апр-26, 12:07	+/–
>Идентифицировать программы для трекинга? Для того, чтобы подтвердить, что программа собрана из тех исходников, которые выложены в общий доступ и не содержит в себе какого-то скрытого бекдора.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

22. Сообщение от Аноним (22), 21-Апр-26, 12:42	+1 +/–
А если подписали не совсем то, что должно бы соответствовать своим исходникам. Но джентльменам надо верить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема