Комитет FESCo (Fedora Engineering Steering Committee), отвечающий за техническую часть разработки дистрибутива Fedora Linux, утвердил проект по обеспечению повторяемых сборок пакетов в осеннем выпуске Fedora 43. Целью инициативы заявлена возможность применения повторяемых сборок для не менее, чем 99% пакетов в репозитории...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63061
А как насчёт RPMFusion?
Тсс, не спугни, а то снова передумают
>это позор для Fedora/RHELПозор или не позор, а патентное законодательство.
Так практически везде.
В Arch Aur.
В Fedora RPMFusion.
В OpenSUSE Packman.
Можно, конечно, использовать Flatpak, но там очень много unverified программ, что не сильно лучше использования сторонних репозиториев.
Вот и выходит, что дистрибутивов больше, чем атомов в видимой части Вселенной, а выбор для домашней пекарни не такой уж и большой.
По сути это или Debian, устаревший ещё до выхода релиза, или Ubuntu со своими снапами. Возможно ещё Solus, у которого 1,5 пакета в репозиториях и непонятное будущее.
Что такое RPMFusion?Если без сарказма, то это непонятная репа, у которой нет никаких гарантий вообще.
Любой бинарный пакет оттуда может идти с malware/backdoors, и никто за это никогда отвечать не будет.
IBM/RedHat не имеют к нему _никакого_ отношения.
Про ферму для сборки неизвестно _ничего_.
Честно говоря, это позор для Fedora/RHEL, но люди хавают.
> Честно говоря, это позор для Fedora/RHEL, но люди хавают.Для RHEL все равно. Там вопрос открытости ПО не так важен, + весь софт тянут через флатпаки и прочие платформы для контейнеризации.
А по поводу Fedora: нууу, это ядерный полигон Red Hat. Там все равно, что юзеры хавают, и как они это хавают. Как бы no warranties. Главное, что соблюдена формальность, и в своих нет проприетарного ПО.
Тот же Silverblue - чисто PoC, на деле этим пользоваться не будут. Те же флатпаки Федоры имеют приоритет выше, чем флатпаки Flathub, соответственно в них тоже не будет всех нужных кодеков.
>Для RHEL все равно. Там вопрос открытости ПО не так важенСпорное утверждение.
Как жить на федоре без кодеков из rpm fusion?
Flatpak.
Я собираю из исходников from day 1.Не федоровские пакеты на моей системе:
* Из исходников: x264, x265, ffmpeg, fdk-aac, faad2-libs, ffmpeg, Audacious (версия в fedora собрана не так, как мне надо), Wine (федоровская сборка ужасна).
* Бинарники: Firefox/Thunderbird от Mozilla, tar.xz и Chrome от Google.
* И NVIDIA драйвера.
Забыл ещё mpv и simplescreenrecorder.
Его можно не подключать, а просто из Flathub установить VLC
>из Flathub установить VLCКоторый unverified?
Нет, спасибо.
И что ты этим хотел сказать?Возможно, тебя это удивит, но большиство, если не все программы в твоём дистрибутиве собраны не их разработчиками, а мейнтенерами дистрибутива. Они точно такие же "unverified".
Нет, меня это не удивляет, я это и так знаю.
А сказать я хотел то, что доверия к команде дистрибутива больше по определению.
Далее идут (наравне) авторы программ.
А уже потом разные сборки от третьих лиц flatpak, snap, ppa etc.
> утвердил проект по обеспечению повторяемых сборок пакетов в осеннем выпуске Fedora 43. Целью инициативы заявлена возможность применения повторяемых сборок для не менее, чем 99% пакетов в репозитории.Звучит как "невесту только что сосватали" )
Для бэкдоров 1% более чем достаточно.
Желающие уже могут скачать и установить финальную версию Fedora 42. Образ Fedora 42 RC 1.1 https://dl.fedoraproject.org/pub/alt/stage/42_RC-1.1/Worksta.../ признан финальным и официально будет представлен 15 апреля.
Зачем бежать впереди паровоза? Всего-то три дня осталось.
Простите бсдшника, далёкого от этих ваших четырнадцати стандартов пакетных систем в ляликсе, но почему нельзя сверять просто хэши (хэш+длина) файлов?
В моменте сборки пакета часть зависимостей и ресурсов может браться из интернетов если так захочется автору, и что там собралось в итоге и почему - вопрос нетривиальный.
https://wiki.freebsd.org/ReproducibleBuilds
https://freebsdfoundation.org/blog/zero-trust-builds-for-fre.../
действительно, почему в бсд нельзя сверять просто хэши (хэш+длина) файлов?
Ты кажется не от систем далек, а от CS и в целом от математики. Повторяемости невозможно достичь без избавления от сайд эффектов. Математически невозможно. Хэши он сверять будет, офигеть)
Федора ненужный копролит.
> При формировании повторяемых сборок учитываются такие нюансы, как точное соответствие зависимостей; использование неизменного состава и версий сборочного инструментария; идентичный набор опций и настроек по умолчанию; сохранение порядка сборки файлов (применение тех же методов сортировки); отключение добавления компилятором непостоянной служебной информации, такой как случайные значения, ссылки на файловые пути и данные о дате и времени сборки. На воспроизводимость сборок также влияют ошибки и состояния гонки в инструментарии.Бсдшнику простительно. Но всегда лучше читать, и только потом - комментировать.
Это для скачивания готовых бинарников, а воспроизводимость это про то чтобы хеши у бинарников собранных из исходников разными людьми совпадали.
прощаем, но вилы до переаттестации изымем, такие вещи так-то всякий чёрт знать должен..
Потому что:В бинарный файл записывается метаинформация сборки.
Автор софта может записывать в программу вручную "build-date" чтобы потом где-то ее отобразить.
И ещё много всяких извращений бывает в мире открытого ПО.
Ящерам из фрибзд этого никогда не осмыслят, нужны инвестиции корпораций, года на принятия решения, чтобы потом какой-нибудь студент на google summer of code за бесплатно из сделал то что старым пердунам было не интересно.
Также стоит добавить что это поможет немного сократить размер delta rpm (если бы на них не положили болт). Вообще линуксовый мир упаковщиков бинарных архивов скучен, вон под вендой репакеры сжимают игровые данные мощно применяя различные трансформеры и всякие технологии. Ровно также всякие steam и особенно epic games store применяют хорошие технологии сжатия, и особенно система патчей игровых данных видео инвестировали кучу мозгов.
видео = видно //fix.
>компрометация компилятора или сборочного инструментарияА толку то. ВсёСПО под винду собирается MSVC, который однажды поймали на встраивании в скомпилированные им программы "телеметрии".
Пффф. Gcc вот вовсе на встраивании лицензии ловили - было ваше, собрали и вжууух! Оно уже всехнее)
Не затруднится ли Дон привести пример бинарничка со встроенной компилятором лицензией. Нет, вставление текста лицензии в исходник не канает.
> Не затруднится ли Дон привести пример бинарничка со встроенной компилятором лицензией.
> Нет, вставление текста лицензии в исходник не канает.История, сколько там? Пятнадцатилетней давности, которая привела к появлению исключения из gplv3 мимо прошла? Ну, бывает...
Можешь почитать тут, как появилась GCC Runtime Library Exception
ebb.org/bkuhn/blog/2009/01/27/gcc-exception.htmlTL/DR самый интересный абзац
Specifically, when you compile a program with gcc, parts of GCC itself, called the runtime library (and before that, crt0), are combined directly with your program in the output binary. The binary, therefore, is both a derivative work of your source code and a derivative work of the runtime library. If GCC were pure GPL, every binary compiled with GCC would need to be licensed under the terms of GPL.
Ну вот, и за что только на гентушников наезжают? А выходит, что у гентушников получается даже быстрее. Сам сэмёржил и всё. А федорианцев будет: скачал пакет собранный, скачал с исходниками, собрал свой бинарный, сравнил, поставил.
Федору пора делать платной.
Спустя десытилетие, повторяют возможности NixOS
Всегда казалось что детерминированность сборки билда из исходников в общем случае обеспечить невозможно
Ну типо в компиляторах зашиты десятки (если не сотни) различных правил и трюков оптимизации результирующего кода и алгоритмы выбора подходящих оптимизаций включают в себя известную степень недетерминируемости.
Еще в вузе демонстрировал преподавателю эксперимент: написал bash-скрипт который вызывал gcc для компиляции простой программки подсчета среднего арифметического 10000 раз. В 96% случаев в ассемблере была видна размотка цикла, в оставшихся 4% ее не было. Ответа от препода, почему так, так и не получил
Ну и ктотде смог вам растолковать столь слодныц вопрос?