Reproduzierbare Builds.

Build-Praktiken, die sicherstellen, dass das Übersetzen desselben Quellcodes mit denselben Anweisungen ein bitgleiches Artefakt erzeugt - unabhängig davon, wann und wo gebaut wird. Es gehört zur Kategorie Anwendungssicherheit der Cybersicherheit.

Build-Praktiken, die sicherstellen, dass das Übersetzen desselben Quellcodes mit denselben Anweisungen ein bitgleiches Artefakt erzeugt - unabhängig davon, wann und wo gebaut wird.

Reproduzierbare Builds entfernen Nichtdeterminismus, sodass jede Person mit Quellcode und Rezept das identische Binary unabhängig erzeugen und Byte für Byte mit einer Veröffentlichung vergleichen kann. Voraussetzungen sind kontrollierte Zeitstempel, Build-Pfade, Umgebungsvariablen, Zufallsquellen, Locale, Dateireihenfolge und Compileroptionen. Das Reproducible-Builds-Projekt, Debian, NixOS, Arch Linux, Tor, F-Droid und Bazel investieren stark in diesem Bereich. Kombiniert mit signierter Provenance erlauben sie unabhängigen Rebuildern, die Herkunft eines Binaries aus dem veröffentlichten Quellcode zu bestätigen - hilfreich, um eine Kompromittierung einzelner Builder (wie bei SolarWinds) zu erkennen. Sie sind Voraussetzung für die höchsten SLSA-Levels und stützen das Vertrauen in kritische Open-Source-Software.

Schutzmaßnahmen gegen Reproduzierbare Builds kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Deterministische Builds, Bitgenaue Builds.