Seminar Nix Reproducible Builds und Supply-Chain-Sicherheit

Beschreibung

Dieses Seminar behandelt Nix aus Sicht reproduzierbarer Builds und technischer Lieferketten. Der Fokus liegt auf expliziten Abhängigkeiten, gesperrten Inputs, kontrollierten Build-Inputs, Signaturen, Artefaktprüfung und nachvollziehbaren Änderungen. Behandelt werden typische Risiken wie implizite Systemabhängigkeiten, unkontrollierte Inputs, abweichende Toolchains und fehlende Prüfbarkeit.

Inhaltsübersicht

• Reproduzierbarkeit und explizite Abhängigkeiten
• Inputs, Hashes und Lock-Dateien
• Toolchains, Build-Inputs und Umgebungsgrenzen
• Signaturen, Caches und Vertrauensmodell
• Prüfbare Änderungen im Teamprozess

Zielgruppe

Geeignet für Teams, die Nachvollziehbarkeit und Wiederholbarkeit von Builds als Sicherheits- und Qualitätsanforderung behandeln.

Voraussetzungen

Sichere Linux- und Shell-Kenntnisse sowie Grundverständnis von Nix oder vergleichbaren Build- und Paketmanagementsystemen.

Schritt-für-Schritt-Inhalte

1. Schritt 1: Ein bestehendes Build-Beispiel auf implizite Abhängigkeiten untersuchen.
2. Schritt 2: Inputs und Hashes kontrolliert festlegen.
3. Schritt 3: Toolchain und Build-Inputs als Nix-Ausdruck beschreiben.
4. Schritt 4: Build-Artefakte vergleichen und Abweichungen einordnen.
5. Schritt 5: Prüfregeln für Änderungen und Cache-Nutzung definieren.

Praxisübungen

• Nicht reproduzierbares Beispiel analysieren
• Input mit Hash absichern
• Toolchain über Nix festlegen
• Artefakte und Store-Pfade vergleichen

Themenschwerpunkte

• Abhängigkeiten: Vollständigkeit und Nachvollziehbarkeit der Inputs verbessern
• Artefakte: Build-Ergebnisse kontrollieren und erklären
• Sicherheit: Vertrauen, Signaturen und Review-Regeln in Prozesse einbauen

Praktischer Nutzen

Nach dem Seminar können Risiken in Build-Ketten besser erkannt und mit Nix-Mechanismen technisch reduziert werden.