LibreKAT/Ocideck

Watch

Fork 0

Reproduceerbare builds / provenance (SLSA) onderzoeken #1027

New issue

Closed

opened 2026-07-31 20:28:19 +00:00 by brenno · 1 comment

brenno commented

2026-07-31 20:28:19 +00:00

Owner

Voortgekomen uit het "Te wegen"-punt van #1014 en het residu van ENISA-open punt O1 (assurance/enisa-sbd-mapping.md, playbook 14 — "release artefacts signed"). Vastgelegd zodat de sterkere garantie niet wegzakt.

Stand nu

De release-keten heeft herkomst, maar nog geen reproduceerbaarheid:

SHA256SUMS draagt een minisign detached signature (#1014, gedaan) — één handtekening verankert alle artefacten.
macOS is Developer-ID-getekend + genotariseerd; Windows-Authenticode is bewust niet gedaan (#1013).

Een handtekening zegt wie voor de bytes instaat. Een reproduceerbare build zegt iets sterkers: iedereen kan uit dezelfde bron dezelfde bytes maken, dus je hoeft de bouwmachine (en de ondertekenaar) níet te vertrouwen. De bronroute biedt daar nu een zwakke vorm van ("een workflow die je kunt lezen" + gepinde toolchain), maar levert geen bit-voor-bit reproduceerbaar artefact.

Doel

Onderzoeken of en hoe reproduceerbaarheid haalbaar is, en wat het zou toevoegen:

Deterministische builds — Flutter-desktop/web bit-voor-bit reproduceerbaar krijgen. Bekende obstakels: ingebedde tijdstempels, absolute paden in de build, niet-deterministische toolchain-/linkerstappen, embedded build-ids.
SLSA-provenance — als tussenstap of alternatief: een ondertekende provenance-attestatie (bouwbron, -parameters, -omgeving) zonder volledige bit-reproduceerbaarheid. Weeg het niveau (SLSA build L1–L3) tegen wat een lokaal-eerst project zonder gehoste CI kan waarmaken.
Verhouding tot bestaande waarborgen — complementair aan de minisign-handtekening en de bronroute, geen vervanging. Wat wint de gebruiker er concreet mee?

Te wegen

Haalbaarheid vs. inspanning: volledige determinisme in Flutter is lastig en kan een doorlopende onderhoudslast worden.
Past het bij de kernwaarde "de gebruiker bouwt uit de bron"? De bronroute is er al; dit maakt hem verifieerbaar identiek.
Per platform verschillend (web waarschijnlijk het makkelijkst, macOS/Windows lastiger).

Verwant

Residu van #1014; naast #1013. Onderdeel van de veilige-distributievraag #520 en ENISA O1.

Voortgekomen uit het "Te wegen"-punt van #1014 en het residu van ENISA-open punt O1 (`assurance/enisa-sbd-mapping.md`, playbook 14 — "release artefacts signed"). Vastgelegd zodat de sterkere garantie niet wegzakt. ## Stand nu De release-keten heeft **herkomst**, maar nog geen **reproduceerbaarheid**: - `SHA256SUMS` draagt een minisign detached signature (#1014, gedaan) — één handtekening verankert alle artefacten. - macOS is Developer-ID-getekend + genotariseerd; Windows-Authenticode is bewust niet gedaan (#1013). Een handtekening zegt *wie* voor de bytes instaat. Een **reproduceerbare build** zegt iets sterkers: iedereen kan uit dezelfde bron dezelfde bytes maken, dus je hoeft de bouwmachine (en de ondertekenaar) níet te vertrouwen. De bronroute biedt daar nu een zwakke vorm van ("een workflow die je kunt lezen" + gepinde toolchain), maar levert geen bit-voor-bit reproduceerbaar artefact. ## Doel Onderzoeken of en hoe reproduceerbaarheid haalbaar is, en wat het zou toevoegen: - **Deterministische builds** — Flutter-desktop/web bit-voor-bit reproduceerbaar krijgen. Bekende obstakels: ingebedde tijdstempels, absolute paden in de build, niet-deterministische toolchain-/linkerstappen, embedded build-ids. - **SLSA-provenance** — als tussenstap of alternatief: een ondertekende provenance-attestatie (bouwbron, -parameters, -omgeving) zonder volledige bit-reproduceerbaarheid. Weeg het niveau (SLSA build L1–L3) tegen wat een lokaal-eerst project zonder gehoste CI kan waarmaken. - **Verhouding tot bestaande waarborgen** — complementair aan de minisign-handtekening en de bronroute, geen vervanging. Wat wint de gebruiker er concreet mee? ## Te wegen - Haalbaarheid vs. inspanning: volledige determinisme in Flutter is lastig en kan een doorlopende onderhoudslast worden. - Past het bij de kernwaarde "de gebruiker bouwt uit de bron"? De bronroute is er al; dit maakt hem verifieerbaar identiek. - Per platform verschillend (web waarschijnlijk het makkelijkst, macOS/Windows lastiger). ## Verwant Residu van #1014; naast #1013. Onderdeel van de veilige-distributievraag #520 en ENISA O1.

brenno added the

enhancement

security

labels

2026-07-31 20:28:19 +00:00

brenno referenced this issue

2026-07-31 20:30:02 +00:00

docs(assurance): koppel O1-residu (provenance/SLSA) aan #1027 #1028

brenno referenced this issue from a commit

2026-07-31 20:30:03 +00:00

docs(assurance): koppel het provenance/SLSA-residu van O1 aan #1027

brenno referenced this issue from a commit

2026-07-31 20:30:05 +00:00

Merge pull request 'docs(assurance): koppel O1-residu (provenance/SLSA) aan #1027' (#1028) from docs/enisa-o1-repro-issue into main

brenno added the

in-progress

label

2026-07-31 20:41:31 +00:00

brenno referenced this issue from a commit

2026-07-31 21:38:16 +00:00

feat(release): maak de webbundel content-reproduceerbaar (#1027)

brenno referenced this issue from a commit

2026-07-31 21:38:16 +00:00

docs(assurance): onderzoek reproduceerbare builds & provenance (#1027)

brenno referenced this issue

2026-07-31 21:38:57 +00:00

feat(release): reproduceerbare builds onderzocht + webbundel content-reproduceerbaar (#1027) #1032

brenno referenced this issue from a commit

2026-07-31 21:39:31 +00:00

Merge pull request 'feat(release): reproduceerbare builds onderzocht + webbundel content-reproduceerbaar (#1027)' (#1032) from feat/repro-provenance-onderzoek-1027 into main

brenno referenced this issue

2026-07-31 21:49:41 +00:00

Native-assetslaag reproduceerbaar pinnen (webbundel-repro over machines heen) #1033

brenno commented

2026-07-31 21:49:57 +00:00

Author

Owner

Onderzocht en afgehandeld op main (4ede15ab, PR #1032).

Web — empirisch: van 2854 bestanden verschilde er precies één over twee schone builds (flutter_bootstrap.js), en daarin alleen een willekeurig serviceWorkerVersion-cachebustergetal; geen absoluut bouwpad lekt. Dat getal is nu deterministisch afgeleid van de service-workerinhoud (tool/pack_web_release.dart), zodat de bundelinhoud reproduceerbaar is binnen een vaste bouwomgeving. Herbouw-en-vergelijk-route in docs/BUILD.md.

Gewogen weg (mét heropen-trigger, assurance/reproduceerbare-builds.md): macOS bit-repro is principieel onmogelijk voor een derde (serverside notarisatieticket); Windows te weinig opbrengst; een aparte SLSA-attestatie vraagt L2/L3 een runner-sleutel/isolatie die botst met least-privilege — reproduceerbaarheid bedient "vertrouw de bouwer niet" hier beter.

Eerlijke kanttekening — de native-assetslaag (dartcv4/OpenCV via CMake) bleek de resterende variabele voor repro over machines heen. Aangewezen als sluitstuk en apart belegd: #1033 (onder #520).

ENISA-residu O1 bijgewerkt. Bewaker-review (publieke belofte) akkoord. Sluit dit als afgehandeld.

Onderzocht en afgehandeld op main (`4ede15ab`, PR #1032). **Web** — empirisch: van 2854 bestanden verschilde er precies één over twee schone builds (`flutter_bootstrap.js`), en daarin alleen een willekeurig `serviceWorkerVersion`-cachebustergetal; geen absoluut bouwpad lekt. Dat getal is nu deterministisch afgeleid van de service-workerinhoud (`tool/pack_web_release.dart`), zodat de bundelinhoud reproduceerbaar is binnen een vaste bouwomgeving. Herbouw-en-vergelijk-route in `docs/BUILD.md`. **Gewogen weg** (mét heropen-trigger, `assurance/reproduceerbare-builds.md`): macOS bit-repro is principieel onmogelijk voor een derde (serverside notarisatieticket); Windows te weinig opbrengst; een aparte SLSA-attestatie vraagt L2/L3 een runner-sleutel/isolatie die botst met least-privilege — reproduceerbaarheid bedient "vertrouw de bouwer niet" hier beter. **Eerlijke kanttekening** — de native-assetslaag (dartcv4/OpenCV via CMake) bleek de resterende variabele voor repro over machines heen. Aangewezen als sluitstuk en apart belegd: #1033 (onder #520). ENISA-residu O1 bijgewerkt. Bewaker-review (publieke belofte) akkoord. Sluit dit als afgehandeld.

brenno

2026-07-31 21:49:57 +00:00