完整,可重复的应用分发已实现!
发布于 2015-02-11,发布者为F-Droid 致力于实现一个完整的应用分发渠道,可以可重复地从源码构建每个 Android 应用。尽管这听起来像是枯燥的细节,它确实带来了许多实际的益处。首先,它意味着任何人都能验证他们使用的应用是 100% 从源码构建,没有添加任何其它东西。这验证了应用是 100% 的自由开源软件。
同时这也能确保在编译过程中不会出现比特异常,在 demonstrated中的31c3 Reproducible Builds talk,一个简单的比特翻转错误就可能导致应用异常。
F-Droid项目会持续发布经验证的版本以致力于提供更好的系统。这一构建基于Guardian项目的首个完整示例。实现了Lil’ Debi build reproducibly。我们从简单的应用开始Checkey,因为它更加小巧简约,功能相对简单(我们先基本搭建出框架,再完善功能)。
从
f-droid.org
下载 Checkey 会得到一个 APK 文件,该文件用由 f-droid.org 构建的官方 Guardian
项目 离线签名密钥所签署。但
Guardian 项目没有把密钥的副本给到 f-droid.org,实际上 fdroid publish 过程现在查找构建配方中的
Binaries: 标签。如果看到这个标签,那么它会下载那个 APK,接着从源码构建这个应用,然后进行检查确保两个 APK 相匹配(简单比较 APK
内容是否有差异以及官方 APK 的签名同样在 f-droid.org 构建的 APK 上有效)。
既然 Checkey 已经投入使用,现在可以着手让所有应用程序都采用相同方式进行验证,从而消除一大批必须担忧的漏洞利用方式。您可以在 F-Droid 维基的 可重复构建 页面上跟踪这项工作的进展,并在 验证服务器 页面了解其未来的应用场景。
可重复进程中接下来的两个应用是 LEAP 的 Bitmask 与 Guardian 项目的 LocationPrivacy。
