Reproducible Build

Définition

Un Reproducible Build (build reproductible) est un processus de compilation qui garantit que les mêmes inputs (code source, dépendances, outils de build) produiront toujours le même output binaire, bit pour bit, indépendamment de l'environnement, du moment d'exécution, ou de la machine utilisée. C'est une propriété cryptographique forte permettant à quiconque de vérifier que le binaire distribué correspond exactement au code source publié. La reproductibilité des builds résout un problème de confiance fondamental dans la distribution de logiciels. Un utilisateur qui télécharge un binaire doit faire confiance à l'organisation qui l'a compilé de ne pas avoir modifié le binaire par rapport au code source. Avec les builds reproductibles, l'utilisateur peut recompiler lui-même à partir du code source et comparer le hash du résultat avec le binaire distribué — s'ils correspondent, la compilation n'a pas été altérée. Les obstacles techniques à la reproductibilité sont nombreux. Les timestamps embedded (heure de compilation dans les binaires C/C++, Java, etc.), les identifiants de build non déterministes (numéros de process, UUID générés aléatoirement), l'ordre non déterministe de traitement des fichiers (dépendant du système de fichiers), les compilateurs générant du code différent selon leur propre version ou les optimisations, et les locales et timezones de l'environnement de build affectant les strings. Des initiatives importantes promeuvent les builds reproductibles. Le projet Reproducible Builds (reproducible-builds.org) coordonne les efforts pour rendre les distributions Linux (Debian, Arch) entièrement reproductibles, avec des outils comme reprotest pour tester la reproductibilité d'un package. Le framework SLSA considère les builds reproductibles comme une propriété hautement désirable (notée dans les provenance attestations). Debian a atteint plus de 95% de reproductibilité pour ses packages. En DevSecOps, les builds reproductibles sont particulièrement précieux pour les projets open source (permettant la vérification communautaire), les environnements réglementés nécessitant l'auditabilité complète des artefacts déployés, et comme couche supplémentaire de vérification de l'intégrité de la supply chain.