Construcciones herméticas y reproducibles

Una construcción es hermética cuando todas sus entradas están declaradas de antemano y durante la compilación no se descarga nada más. Es reproducible cuando repetirla con las mismas entradas produce exactamente el mismo resultado. Ambas propiedades ayudan a confiar en un artefacto, pero la especificación SLSA v1.0 no las exige en ninguno de sus niveles de construcción: las menciona como posibles mejoras futuras. Un producto puede estar en L3 sin ser reproducible, y uno reproducible puede estar en L0.

El archivo construccion/declaracion-de-entradas.txt lista de dónde debe venir todo. El construccion/registro-de-red-3.4.1.txt dice a qué se conectó la construcción de verdad. Una conexión fuera de lo declarado, sobre todo en la fase de compilar, introduce algo en el artefacto que nadie revisó ni fijó: una construcción así no es hermética, y la procedencia solo la refleja si el constructor la anotó.

El archivo reproducibilidad/comparacion.txt compara dos construcciones independientes del mismo commit: la de la plataforma y una hecha por el equipo de auditoría. Que las huellas no coincidan no prueba que alguien manipulara nada: casi siempre hay una causa corriente, como un dato que cambia en cada ejecución. Pero tampoco se puede ignorar: hay que localizar la causa. Empieza por el archivo de contenido que cambia (el contenedor del paquete cambia por arrastre).

La comparación cuenta ocho filas. Una medida útil para seguir la mejora de un equipo es el porcentaje de archivos cuya huella coincide entre las dos construcciones. Cuenta las filas con «si» y calcula el porcentaje sobre el total, sin decimales.

Mira reproducibilidad/diferencia-meta-info.txt: lo único que varía es la hora en que se construyó. El equipo propone dos cosas: dejar de comparar ese archivo para que la comparación dé «idéntico», o dejar de escribir en el paquete un dato que cambia en cada construcción (o fijarlo a un valor que dependa del commit).