Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Português
Entry № 921

Builds reprodutíveis

O que é Builds reprodutíveis?

Builds reprodutíveisPráticas de build que garantem que compilar o mesmo código-fonte com as mesmas instruções produz um artefacto idêntico bit a bit, independentemente de quando ou onde é construído.

Builds reprodutíveis eliminam o não determinismo para que qualquer pessoa com o código-fonte e a receita possa recriar de forma independente o mesmo binário e compará-lo byte a byte com uma release. Isto exige controlar timestamps, caminhos de build, variáveis de ambiente, aleatoriedade, locale, ordem de ficheiros e opções de compilador. O projeto Reproducible Builds, Debian, NixOS, Arch Linux, Tor, F-Droid e Bazel investem fortemente nesta área. Combinados com proveniência assinada, permitem que rebuilders independentes confirmem que um binário veio mesmo da fonte publicada, ajudando a detetar comprometimento de um único builder (como no caso SolarWinds). São condição para atingir os níveis SLSA mais altos e sustentam a confiança em software open source crítico.

● Exemplos

  1. 01

    Rebuild independente de uma release do Tor Browser que coincide byte a byte com o binário oficial.

  2. 02

    Serviço baseado em Bazel que produz o mesmo digest SHA-256 a partir do mesmo commit em qualquer worker.

● Perguntas frequentes

O que é Builds reprodutíveis?

Práticas de build que garantem que compilar o mesmo código-fonte com as mesmas instruções produz um artefacto idêntico bit a bit, independentemente de quando ou onde é construído. Pertence à categoria Segurança de aplicações da cibersegurança.

O que significa Builds reprodutíveis?

Práticas de build que garantem que compilar o mesmo código-fonte com as mesmas instruções produz um artefacto idêntico bit a bit, independentemente de quando ou onde é construído.

Como funciona Builds reprodutíveis?

Builds reprodutíveis eliminam o não determinismo para que qualquer pessoa com o código-fonte e a receita possa recriar de forma independente o mesmo binário e compará-lo byte a byte com uma release. Isto exige controlar timestamps, caminhos de build, variáveis de ambiente, aleatoriedade, locale, ordem de ficheiros e opções de compilador. O projeto Reproducible Builds, Debian, NixOS, Arch Linux, Tor, F-Droid e Bazel investem fortemente nesta área. Combinados com proveniência assinada, permitem que rebuilders independentes confirmem que um binário veio mesmo da fonte publicada, ajudando a detetar comprometimento de um único builder (como no caso SolarWinds). São condição para atingir os níveis SLSA mais altos e sustentam a confiança em software open source crítico.

Como se defender contra Builds reprodutíveis?

As defesas contra Builds reprodutíveis costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Quais são outros nomes para Builds reprodutíveis?

Nomes alternativos comuns: Builds determinísticas, Builds bit a bit.

● Termos relacionados