Czy to naprawdę kod źródłowy tego programu?

Polecam cały artykuł Is that really the source code for this software? a dla niecierpliwych lub niespikających krótkie streszczenie. Wiele wolnego oprogramowania przychodzi w postaci binarnej. Dołączony jest do niej kod źródłowy w teorii odpowiadający dokładnie temu, z którego zostały zbudowane wersje binarne. Zagadnienie jest ważne zarówno z punktu widzenia wolności oprogramowania, jak i bezpieczeństwa.

Autor ww. artykułu postanowił sprawdzić, jak to wygląda w praktyce dla popularnych dystrybucji Linuksa (Debian, Fedora, OpenSUSE). Na przykładzie tak prostego oprogramowania jak tar. Wykorzystał do tego celu minimalne instalacje systemu, korzystał ze źródeł dostarczonych w dystrybucjach i metod budowania zalecanych przez dystrybucje.

Wyniki są dość zaskakujące: ani razu nie udało mu się uzyskać dokładnej (bit w bit) kopii tego prostego przecież pakietu wykorzystując kod źródłowy.

W przypadku Debiana różnice były minimalne (data i id buildu w plikach wykonywalnych), w przypadku OpenSUSE było gorzej. Powstałe pliki binarne były 5 razy większe od oryginału. Po wykonaniu strip na wersjach binarnych sytuacja wyglądała już podobnie jak w przypadku Debiana. Najgorzej wypadła Fedora – nie tylko różnic było najwięcej, ale autorowi artykułu nie udało się ustalić przyczyn wszystkich rozbieżności . Jak pisze „niełatwo stwierdzić, czy samodzielny build ze źródeł będzie funkcjonował identycznie, jak opublikowana wersja binarna z dystrybucji”.

W przypadku skomplikowanych pakietów i projektów luźniej podchodzących do kwestii wolności oprogramowania, niż dystrybucje Linuksowe (np. firmware routerów z wykorzystaniem wolnego oprogramowania – często zamieszczają kernel, ale zwykle jest to wersja waniliowa wzięta na żywca z kernel.org…) różnice będą jeszcze większe. Gdyby ktoś znalazł komentarz RMS do sprawy, proszę o linka – bardzo jestem ciekaw, co ma do powiedzenia w tej sprawie.

UPDATE: Problem czy to naprawdę kod źródłowy danej binarki został dostrzeżony i doceniony, idea reproducible builds stała się popularna.

Domena debian-multimedia.org przejęta.

Zespół Debiana donosi, że domena debian-multimedia.org, pod którą wcześniej było dostępne nieoficjalne, lecz popularne repozytorium pakietów, wygasła, a obecnie została przejęta przez osobę niezwiązaną z projektem.

W związku z tym, wszystkie repozytoria odwołujące się do niej powinny być usunięte z sources.list, gdyż zachodzi możliwość przedostania się w ten sposób do systemu złośliwego kodu.

Aby sprawdzić, czy w systemie są one aktualnie obecne, można wykonać polecenie:

grep debian-multimedia.org /etc/apt/sources.list /etc/apt/sources.list.d/*

Przypominają również, że począwszy od wydania Wheezy’ego najprawdopodobniej nie będzie ona już potrzebna ze względu na poprawione wsparcie dla multimediów w tym wydaniu.

Przy okazji: z dyskusji na Facebooku wynika, że www.deb-multimedia.org nadal jest bezpieczne.

Konferencja Atmosphere 2013

O konferencji Atmosphere 2031 dowiedziałem się z maila. Organizator jest ten sam, co PLNOG i ma świadomość, że na PLNOG nie tylko sieciowcy jeżdżą, ale także sysadmini. Atmosphere w założeniu miało być dla devopsów i wypełnić lukę między konferencjami dla programistów, a konferencjami dla sieciowców. Organizator sprawdzony (na PLNOG ludzie się zapisują nie znając agendy), konferencja na miejscu w Poznaniu, tematyka ciekawa, więc uznałem, że warto się wybrać, bo może być ciekawie. Zresztą na pierwszego PLNOGa też pojechaliśmy na zasadzie „zobaczmy, co będzie”. I było wtedy fajnie, nie tak krótkie wrażenia z pierwszej edycji PLNOG opisałem (część 1 i część 2).

Oczywiście nie wybrałem się sam. Zebraliśmy mieszany skład (sysadmini, programiści, i ja robiący za management i z doskoku sieć) i… pojawił się pierwszy problem. Strona konferencji jest w całości w języku angielskim, sporo zagranicznych prowadzących… O ile administratorzy raczej u nas sobie ze spikaniem radę dają, to okazało się, że dla części programistów jest to problem. Szybki kontakt z organizatorami i wiemy, że jest mieszane, ale ok. połowy wykładów jest po angielsku. W praktyce: jak ktoś nie zna języka, to przy takiej proporcji nudzić się też raczej nie będzie. Nawet jeśli opuści któryś wykład, to znajdą się ciekawi ludzie, żeby pogadać w przerwie.

Jeśli chodzi o atmosferę, to spodziewałem się drugiego PLNOG. Tymczasem było znacznie bardziej kameralnie, co przełożyło się na zupełnie inną atmosferę. Mniej ludzi, mniej oficjalnie, w jednej z sal wykładowych obok tradycyjnych krzeseł były z tyłu leżanki różnej maści. Fajny pomysł, szczególnie w połączeniu z ekranami po bokach, na których wyświetlana była treść prezentacji. Można było odpocząć (fizycznie), nie tracąc przy tym wykładu. Bo siedzenie przez cały dzień na krzesłach to jednak nie jest to, co tygrysy lubią najbardziej. Wracając do atmosfery – bardzo fajnie. Inaczej, niż na PLNOG, ale fajnie.

Pora na wady: za głośna muza na afterparty. Ciężko było pogadać w lokalu, z kolei na zewnątrz było jednak za zimno. Zdaję sobie sprawę, że problem jest nietrywialny do rozwiązania. I występuje raczej zawsze, nie tylko na konferencjach, ale także przy zwykłych wypadach do lokali, w większym lub mniejszym stopniu. Kolejna wada – z mojego punktu widzenia – to proporcje tematyczne. Mam wrażenie, że jednak z 70% wykładów na których byłem, było celowanych w programistów. Niemniej, były dwie ścieżki, więc był wybór, a na obu naraz nie byłem. Last: jak pierwszego dnia rozdawane są gadżety, to przyda się coś do noszenia. Nie wymagam plecaka/torby (PLNOG rozpieszcza), ale choćby reklamówka ułatwia życie. I długopisy + notes byłyby fajne. Choćby parę kartek w identyfikatorze.

Prezentacji omawiać po kolei nie będę. Generalnie było ciekawie, także te niby offtopiczne prezentacje były OK. Niektóre z prezentacji ciut zbyt pojechane/hermetyczne jak na mój gust, ale ogólnie dobrze. Jeśli chodzi o uczestników, to zdecydowanie dominowały na plakietkach Allegro i Wikia. Sporo także wykładowców z tych firm. W sumie trudno się dziwić… Jak na pierwszy raz – zdecydowanie fajnie. Mam nadzieję, że w przyszłym roku uda mi się dotrzeć.

No i tyle tych dość chaotycznych i spóźnionych wrażeń z konferencji Atmosphere 2013 (zacząłem pisać wcześniej, potem zapomniałem o nim). Ku pamięci: przez dziewięć edycji PLNOG nie udało mi się nigdy niczego wygrać, mimo wielokrotnego poświęcenia i porannego wstawania do rannych ptaszków. Ostatnio zgarnąłem dwie nagrody. Na Atmosphere kontynuowałem dobrą passę. Mam podejrzenie, że odkryłem hacka, ale muszę to jeszcze sprawdzić…