O Que É um Reproducible Build?
Um reproducible build é aquele em que compilar a mesma fonte com a mesma toolchain gera um artifact idêntico bit a bit, independentemente de quando ou onde é executado. Isso permite que partes independentes reconstruam e confirmem que um binário publicado realmente veio da fonte declarada. É uma pedra angular da confiança na software supply chain.
Por que isso importa
Se um build é reproducible, qualquer um pode verificar que um binário lançado não foi adulterado, reconstruindo-o e comparando hashes. Alcançar isso exige remover não determinismo como timestamps embutidos, diferenças na ordenação de arquivos e caminhos absolutos.
Conceitos relacionados
- Hermetic builds geralmente são necessários para chegar lá
- Build provenance registra como o artifact foi produzido
- Os níveis do SLSA recompensam a reprodutibilidade
Guias relacionados
What Is a Hermetic Build?A hermetic build depends only on explicitly declared, pinned inputs and is isolated from the host, so it prod…
What Is Build Provenance?Build provenance is signed metadata describing how an artifact was built, including its source, inputs, and b…
What Is SLSA?SLSA is a security framework that defines graduated levels of build-integrity assurance to harden software su…