Você pega o código-fonte - constrói - obtém o mesmo binário exato toda vez (bit-for-bit identical). Se a saída difere? Algo sorrateiro aconteceu (porta dos fundos, adulteração, ataque à cadeia de suprimentos). É a melhor defesa do crypto contra dependências comprometidas ou atualizações maliciosas.
O problema: Mesmo que as compilações sejam reproduzíveis, como provar que toda a cadeia é legítima? Código-fonte, dependências, ambiente de compilação, logs, artefato final... tudo precisa ser verificável sem confiar no GitHub, npm, ou qualquer outro serviço.
Ver original
Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.
Reproducible builds 101:
Você pega o código-fonte - constrói - obtém o mesmo binário exato toda vez (bit-for-bit identical). Se a saída difere? Algo sorrateiro aconteceu (porta dos fundos, adulteração, ataque à cadeia de suprimentos). É a melhor defesa do crypto contra dependências comprometidas ou atualizações maliciosas.
O problema:
Mesmo que as compilações sejam reproduzíveis, como provar que toda a cadeia é legítima? Código-fonte, dependências, ambiente de compilação, logs, artefato final... tudo precisa ser verificável sem confiar no GitHub, npm, ou qualquer outro serviço.