Builds reproduzíveis em fevereiro de 2026 — reproducible-builds.org

Bem-vindo ao relatório de fevereiro de 2026 do projeto Reproducible Builds!

Esses relatórios descrevem o que temos feito no mês passado, destacando notícias de outros lugares na área cada vez mais importante da segurança da cadeia de suprimentos de software. Como sempre, se você estiver interessado em contribuir para o projeto Reproducible Builds, consulte o Contribuir página em nosso site.

1. reproduzir.debian.net
2. Desenvolvimento de ferramentas
3. Trabalho de distribuição
4. Notícias diversas
5. Patches upstream
6. Atualizações de documentação
7. Quatro novos trabalhos acadêmicos

reproduzir.debian.net

O último ano assistiu à introdução, desenvolvimento e implantação de reproduzir.debian.net. Em termos técnicos, este é um exemplo de reconstruídonosso servidor foi projetado para monitorar os repositórios de pacotes oficiais das distribuições Linux e tentar reproduzir os resultados observados lá.

Este mês, no entanto, Holger Levsen adicionou navegação baseada em suíte (por exemplo, Debian trixie contra bifurcado) ao serviço (além da já existente navegação baseada na arquitetura) que pode ser observada, por exemplo, no Debian backports trixie ou trixie-segurança páginas.

Desenvolvimento de ferramentas

difoscópio é nosso utilitário de comparação aprofundado e com reconhecimento de conteúdo que pode localizar e diagnosticar problemas de reprodutibilidade. Este mês Chris Lamb fez uma série de mudanças incluindo a preparação e upload de versões 312 e 313 para o Debian.

Em particular, Chris atualizou o pipeline de implantação pós-lançamento para garantir que o pipeline não falhe se a implantação automática para PyPI falha (…). Além disso, o Vagrant Cascadian atualizou uma referência externa para o 7z ferramenta para Giz GNU. (…). Vagrant Cascadian também atualizado difoscópio no GNU Guix para versão 312 e 313.

Trabalho de distribuição

No Debian este mês:

• 26 revisões de pacotes Debian foram adicionadas, 5 foram atualizadas e 19 foram removidas este mês, aumentando nosso amplo conhecimento sobre os problemas identificados.

• Um novo debsbom pacote foi carregado para instável. De acordo com a descrição do pacote, este pacote “gera SBOMs (Software Bill of Materials) para distribuições baseadas em Debian nos dois formatos padrão, SPDX e CycloneDX. O SBOM gerado inclui todos os pacotes binários instalados e também contém pacotes fonte Debian.”

• Além disso, um sbom-toolkit foi carregado o pacote, que “fornece uma coleção de scripts para geração de SBOM. Esta é a ferramenta usada em Apertis para gerar as Licenças SBOM e o Build Dependency SBOM. Também inclui dh-setup-copyrightum Debhelper addon para gerar SBOMs de Informações de depuração DWARFque são “extraídos das informações de depuração DWARF executando dwarf2sources em todos os binários ELF do pacote e salvando a saída.”

Por último, Bernhard M. Wiedemann postou outro openSUSE atualização mensal pelo seu trabalho lá.

Notícias diversas

Patches upstream

O projeto Reproducible Builds detecta, disseca e tenta consertar o maior número possível de pacotes atualmente não reproduzíveis. Nós nos esforçamos para enviar todos os nossos patches upstream quando apropriado. Este mês, escrevemos um grande número desses patches, incluindo:

• Bernhard M. Wiedemann:

• Gioele Barabucci:

Atualizações de documentação

Mais uma vez, houve uma série de melhorias feitas em nosso site este mês, incluindo:

Quatro novos trabalhos acadêmicos

Julien Malka e Arnout Engelen publicaram um artigo intitulado Lila: Monitoramento descentralizado de reprodutibilidade de build para o modelo funcional de gerenciamento de pacotes:

(Embora) estudos recentes tenham mostrado que altas taxas de reprodutibilidade são alcançáveis ​​em escala – demonstradas pelo ecossistema Nix alcançando mais de 90% de reprodutibilidade em mais de 80.000 embalagens – o problema do monitoramento eficaz da reprodutibilidade permanece em grande parte sem solução. Nesse trabalho, abordamos o desafio do monitoramento da reprodutibilidade introduzindo Liláum sistema descentralizado de avaliação de reprodutibilidade adaptado ao modelo funcional de gestão de pacotes. Lila permite relatórios distribuídos de resultados de construção e agregação em um banco de dados de reprodutibilidade (…).

UM PDF de seu artigo está disponível online.

Javier Ron e Martin Monperrus de Instituto Real de Tecnologia KTHSuécia, também publicou um artigo intitulado Proveniência verificável de artefatos de software com compilação de conhecimento zero:

Verificar se um binário compilado se origina de seu código-fonte reivindicado é um requisito fundamental de segurança, chamado de proveniência do código-fonte. Alcançar a proveniência verificável do código-fonte na prática continua sendo um desafio. A técnica mais popular, chamada de construções reproduzíveis, requer difícil correspondência e reexecução de conjuntos de ferramentas e ambientes de construção. Propomos uma nova abordagem para proveniência verificável baseada na compilação de software com máquinas virtuais de conhecimento zero (zkVMs). Ao executar um compilador dentro de um zkVM, nosso sistema produz a saída compilada e uma prova criptográfica atestando que a compilação foi realizada no código-fonte reivindicado com o compilador reivindicado. (…)

UM PDF do artigo está disponível online.

Oreofe Solarin de Departamento de Ciências da Computação e Dados, Universidade Case Western ReserveCleveland, Ohio, EUA, publicado Não são apenas carimbos de data/hora: um estudo sobre a reprodutibilidade do Docker:

Construções de contêineres reproduzíveis prometem uma verificação de integridade simples para cadeias de suprimentos de software: reconstrua uma imagem de seu Dockerfile e compare hashes. Construímos um pipeline de medição Docker e o aplicamos a uma amostra estratificada de 2.000 repositórios GitHub que continham um Dockerfile. Descobrimos que apenas 56% produzem qualquer imagem edificável e apenas 2,7% delas são reproduzíveis bit a bit sem quaisquer configurações de infraestrutura. Depois de modificar as configurações da infraestrutura, aumentamos a reprodutibilidade bit a bit em 18,6%, mas 78,7% dos Dockerfiles compiláveis ​​permanecem não reproduzíveis.

UM PDF do artigo de Oreofe está disponível online.

Por último, Jens Dietrich e Behnaz Hassanshahi publicaram Sobre a variabilidade do código-fonte nas reconstruções de pacotes Maven:

(Neste artigo, testamos a suposição de que o mesmo código-fonte está sendo usado (por) construções alternativas. Para estudar isso, comparamos as fontes lançadas com pacotes no Maven Central, com as fontes associadas a pacotes construídos independentemente do Google’s Código aberto garantido e projetos Build-from-Source da Oracle. (…)

UM PDF de seu artigo está disponível online.

Finalmente, se você estiver interessado em contribuir para o projeto Reproducible Builds, visite nosso Contribuir página em nosso site. No entanto, você pode entrar em contato conosco através de: