FreeBSD kurz vor 15.0: Vertrauen ist gut, Reproduzierbarkeit ist besser

Im Zuge wachsender Supply-Chain-Angriffe setzen die FreeBSD-Entwickler auf ein transparentes Build-Konzept in Form von Zero-Trust-Builds. Der Ansatz baut auf den etablierten Reproducible Builds auf, bei denen sich Binärdateien bitgenau aus dem veröffentlichten Quellcode nachbauen lassen. Während reproduzierbare Builds primär die Nachprüfbarkeit sicherstellen, geht das Zero-Trust-Modell einen Schritt weiter und entzieht dem Build-Prozess selbst das Vertrauen. Kein einzelner Server, Maintainer oder Compiler darf mehr als potenziell vertrauenswürdig gelten.

Stattdessen erzeugen voneinander unabhängige, deterministische Build-Umgebungen dieselben Artefakte, deren Übereinstimmung kryptografisch verifiziert wird. Manipulationen im Build-Prozess oder in der Toolchain würden so sofort auffallen. So entsteht ein durchgängig überprüfbarer Produktionsprozess, in dem Manipulationen in Toolchains, CI-Systemen oder Signaturprozessen erkennbar werden. Das ist ein konsequenter Schritt hin zu einer Softwarewelt, in der Sicherheit nicht auf einem von Regierungen und Geheimdiensten unterwanderten Vertrauen beruht, sondern auf trockener Verifizierbarkeit.

Erstaunlich: Reichlich Geld von der deutschen Regierung

Ende 2024 erhielt die FreeBSD Foundation von der Sovereign Tech Agency satte 686.400 EUR für die Modernisierung der Infrastruktur. Die im Oktober 2022 gegründete Fördergesellschaft wird vom Bundesministerium für Wirtschaft und Energie finanziert. Derzeit ist es eine Tochtergesellschaft der Bundesagentur für Sprunginnovationen, SPRIND GmbH. Eines der Teilprojekte, das durch die Finanzspritze finanziert werden soll, sind besagte „Zero Trust & Reproducible Builds“.

Mit kleiner Verspätung, aber einsatzbereit für FreeBSD 15

Im Januar 2025 kündigte die FreeBSD Foundation daher an, beide Technologien bis August zu implementieren. Insbesondere der Build-Prozess für kommende FreeBSD-Releases soll so ohne root-Access zu reproduzierbaren und verifizierbaren Binärdateien führen. Das Ziel wurde nun mit kleiner Verspätung erreicht und kann im aktuellen Entwicklerzweig für FreeBSD 15 genutzt werden.

Damit werden die für die Installation notwendigen ISO-Images für USB-Sticks und CD/DVD, die Images für virtuelle Maschinen und die Cloud-Images für das Ausrollen in AWS, Azure und so weiter unabhängig nachprüfbar. Dazu gehört die Eliminierung oder Normalisierung von Zeitstempeln, damit Builds unabhängig vom Erstellungszeitpunkt identische Ergebnisse liefern.

Ebenso wichtig ist eine reproduzierbare Sortierung von Dateilisten, Paket-Metadaten und ähnlichen Strukturen, um zufällige Unterschiede zu vermeiden. Überdies bleiben die Build-Umgebungen konsistent, inklusive Debug-Pfaden, Locale-Einstellungen und anderer Umgebungsparameter. Auch die eingesetzten Werkzeuge, etwa das für die Erzeugung von Dateisystem-Images verantwortliche mkimg(1)-Utility, werden erweitert, um reproduzierbare Artefakte nativ zu unterstützen.

FreeBSD folgt GNU/Linux und NetBSD mit eigenem Ansatz

Es wurde auch höchste Zeit für FreeBSD, diesen Sicherheitsaspekt zu unterstützen, den GNU/Linux und selbst NetBSD schon seit Jahren bieten. Vom konsequent auf Sicherheit ausgelegten OpenBSD gibt es keine Stellungnahme dazu, allerdings scheint es für die Entwickler kein Thema zu sein. Dort experimentiert man mit anderen Techniken wie der teilweise bewussten Variabilität durch beispielsweise Kernel- und Library‑Randomisierung. Deterministische Builds laufen diesem Konzept ein wenig zuwider.

(axk)