Je me demande si Canonical (et/ou Debian) fournit une sorte de garantie que tous les packages des dépôts principaux et universels sont toujours soit construits à partir de la source par eux-mêmes, soit vérifiés par eux (en cas de constructions reproductibles déterministes ou signées) par opposition à la simple inclusion de binaires compilés par d'autres (ce qui implique que vous devez également leur faire confiance pour ne pas faire quelque chose de louche ou de peu clair sur leur processus de compilation, ou utiliser quoi que ce soit en dehors du référentiel source public autre que les clés privées pour la signature, le cas échéant).
Quelles sont les politiques de Debian et Ubuntu à ce sujet ? Ont-ils des pages ou des déclarations officielles à ce sujet ? Je m'attendrais à ce qu'ils le fassent au moins pour le principal, mais qu'en est-il de l'univers? À qui est-ce que je « fais confiance » (pour fournir ce qu'ils prétendent avoir compilé) lorsque j'installe quelque chose de l'univers ? Juste Canonical/Debian ou aussi les auteurs eux-mêmes ?
Connexe :(quelques informations que j'ai trouvées sur les versions reproductibles, pour la plupart anciennes)
- Ubuntu fonctionnera-t-il avec des versions reproductibles ?
- Les versions d'Ubuntu sont-elles déterministes ? Pourquoi pas ?
- https://wiki.debian.org/ReproducibleBuilds/History#A2016_and_2017
- https://isdebianreproductibleyet.com/
- https://reproductible-builds.org/projects/#affiliated-projects
Réponse acceptée :
Les packages de main et d'univers sont construits dans la ferme de construction du tableau de bord, à partir de la source. Vous n'avez pas besoin de demander de vérification car vous pouvez le trouver vous-même.
Par exemple, au moment de la rédaction de la version la plus récente de bind téléchargé sur Ubuntu 20.04 LTS (Focal) est 1:9.16.1-0ubuntu2.5. Vous pouvez le voir via la liste de diffusion publique focal-changes. Plus précisément, ce message qui renvoie au tableau de bord où vous pouvez voir les fichiers source et les builds, ainsi que les journaux de build pour chaque architecture prise en charge. Par exemple, la construction amd64 pour cette version de ce package se trouve ici avec le journal de construction ici.
Vous pouvez répéter ce processus pour chaque paquet dans chaque version d'Ubuntu.
Alors que j'ai mentionné principal et univers, il en va de même pour les packages restreints et multivers, qui sont également construits sur le tableau de bord. Cependant, ils peuvent contenir des composants non libres, il n'est donc pas garanti qu'ils soient construits "à partir des sources", mais il existe un paquet source pour chacun, même s'il contient des composants binaires.
Connexe :Accorder l'accès à VirtualBox à des utilisateurs spécifiques uniquement ?