https://blog.0x2e6b6169.de/tags/reproducible-builds/Recent content in Reproducible Builds on .kais blogHugode-deWed, 09 Sep 2026 07:35:00 +0200https://blog.0x2e6b6169.de/posts/2026-09-09-quellcode-glaeubigkeit/Wed, 09 Sep 2026 07:35:00 +0200https://blog.0x2e6b6169.de/posts/2026-09-09-quellcode-glaeubigkeit/<h2 id="-was-beobachte-ich">🔍 Was beobachte ich?<a class="heading-anchor" href="#-was-beobachte-ich" aria-label="Link zu diesem Abschnitt"></a></h2> <p>Code-Review, SAST, Dependency-Scan: Die gesamte Prüfarbeit richtet sich auf den Quelltext. Nach Compiler, Build-Image und Pipeline-Plugins frage ich meist vergeblich. Sie gelten als Werkzeug, nicht als Angriffsfläche.</p> <h2 id="-was-soll-eigentlich-erreicht-werden">🎯 Was soll eigentlich erreicht werden?<a class="heading-anchor" href="#-was-soll-eigentlich-erreicht-werden" aria-label="Link zu diesem Abschnitt"></a></h2> <p>Ausgeliefert werden soll nur, was geprüft wurde. Der Quelltext ist dafür der naheliegende Ort: lesbar, versioniert, nachvollziehbar.</p> <h2 id="-warum-funktioniert-das-nicht">⚠️ Warum funktioniert das nicht?<a class="heading-anchor" href="#-warum-funktioniert-das-nicht" aria-label="Link zu diesem Abschnitt"></a></h2> <p>Ken Thompson hat 1983 in seinem Turing-Award-Vortrag „Reflections on Trusting Trust“ vorgeführt, warum das nicht reicht. Er präparierte einen C-Compiler: Beim Übersetzen des Login-Programms baute dieser eine Hintertür ein. Und beim Übersetzen seiner selbst gab er genau diese Fähigkeit an die nächste Compiler-Fassung weiter. Danach ließ sich der Compiler-Quelltext säubern: Die Hintertür lebte im Binary weiter – sichtbar war sie in keiner einzigen Zeile. Ausgeliefert wird nicht, was man liest, sondern was das Werkzeug daraus macht.</p>