Ви берете вихідний код — збираєте його — і отримуєте точно такий самий бінарний файл кожного разу (bit-for-bit ідентичний). Якщо вихідні дані відрізняються? Щось підступне трапилось (задня двері, підробка, атака через ланцюг постачання). Це найкращий захист криптовалют від скомпрометованих залежностей або зловмисних оновлень.
Проблема: Навіть якщо збірки є відтворюваними, як довести, що вся ланцюг є легітимною? Вихідний код, залежності, середовище збірки, журнали, кінцевий артефакт... все має бути перевіряємим без довіри до GitHub, npm або будь-яких інших сервісів.
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
Reproducible builds 101:
Ви берете вихідний код — збираєте його — і отримуєте точно такий самий бінарний файл кожного разу (bit-for-bit ідентичний). Якщо вихідні дані відрізняються? Щось підступне трапилось (задня двері, підробка, атака через ланцюг постачання). Це найкращий захист криптовалют від скомпрометованих залежностей або зловмисних оновлень.
Проблема:
Навіть якщо збірки є відтворюваними, як довести, що вся ланцюг є легітимною? Вихідний код, залежності, середовище збірки, журнали, кінцевий артефакт... все має бути перевіряємим без довіри до GitHub, npm або будь-яких інших сервісів.