タイムスタンプ（Timestamps）

タイムスタンプ（時刻印）は再現性のあるビルドにとって一番の難問です。 ほとんどのビルドツールはビルドを実行したときの日付と時刻を記録しています。 ファイルシステムもそうですし、ほとんどのアーカイブ形式 はその時のタイムスタンプを変更日時へ設定するようになっています。 ビルドしたときの日付をソフトウェア自体に格納しておくことが慣習とされている場合もあるのです。

タイムスタンプは避けたほうがよい

ビルドしたソースコードのバージョンや、ビルドしたツールの情報を、ビルドした日時で近似する場合が（よく）あります。 再現性のあるビルドにおいて、ビルドした日時を記録する必要はありません。 タイムスタンプより正確な方法でソースコードを追跡しなければならないからです。 また、ビルド環境を定義したり、より詳細に記録しなければなりません。

ユーザーに、いつソフトウェアが作られたのか伝えるには、ビルドした日時よりソースコードの日時（を変更した日時？）を伝えたほうがいいでしょう。 そうすれば、古いソフトウェアが常に古いことを伝えられるからです。 バージョン情報 のように、バージョン管理システムや 変更履歴（changelog） から取得するのが一番です。

外部ツール

ソースコードジェネレータやドキュメントジェネレータのようなツールがタイムスタンプを書き込むせいで、ビルド結果の再現性を損ねる場合があります。

「再現性のあるビルド」の枠組みとして、環境変数 SOURCE_DATE_EPOCH を使用する方法を提案しています。 対応しているツール¹は、ビルド時の日時の代わりに1970年1月1日0時0分0秒（UTC）からの経過秒数を使用します。 広く普及してもらうための 公式な定義 も存在します。

（初めて SOURCE_DATE_EPOCH を採用したのは Debian の関係者たちで、広く使われるようになりました）

SOURCE_DATE_EPOCH に対応するための変更は少ないし簡単です。 未対応のツールのための修正パッチは、再現性のあるビルド を望んでいる全てのユーザーに喜んで受け入れられるでしょう。

何らかの理由で対応できないときは、ビルド結果を後処理する方法も考えられます。 完全にタイムスタンプを削除するか、準備した日付と時刻で正規化するのです。 strip-nondeterminism コマンドは、さまざまな形式のファイルについて日付と時刻を正規化するための拡張用プログラムです。

もう1つの方法として、libfaketime を使用してツールを実行する方法があります。 このライブラリを環境変数 LD_PRELOAD で読み込むようにすると、現在日時を取得する関数呼び出しに割り込んで、指定した日時を返すことができるのです。 場合によっては、ビルドシステムを大幅に変更することなく、目的を達成できるでしょう。 しかし、ビルドプロセスのどこかが時刻の差異に依存しているとしたら、おそらく失敗します。 Tor Browser のビルドの再現性に関する問題 では、libfaketime と並列コンパイルの不適合が原因として指摘されています。 利用するときは注意が必要です。

---

← Documentation index

Documentation home

Introduction

• 定義（Definitions）
• History
• やってみる（Buy-in）
• 計画する（Making plans）
• Academic publications

Achieve deterministic builds

• SOURCE_DATE_EPOCH
• 確実なビルドシステム（Deterministic build systems）
• 揮発性のある入力データは消える場合がある（Volatile inputs can disappear）
• 入力データの順序を固定する（Stable order for inputs）
• 値を初期化する（Value initialization）
• バージョン情報（Version information）
• タイムスタンプ（Timestamps）
• タイムゾーン（Timezones）
• ロケール（Locales）
• アーカイブのメタデータ（Archive metadata）
• 出力データの順序を固定する（Stable order for outputs）
• 無作為性（Randomness）
• ビルド時のファイルシステムパス（Build path）
• システムイメージ（System images）
• JVM

Define a build environment

• ビルド環境に含む要素（What's in a build environment?）
• ビルド環境を記録する（Recording the build environment）
• ビルド環境の定義における戦略（Definition strategies）
• Proprietary operating systems

Distribute the environment

• ソースコードからビルドする（Building from source）
• Virtual machine drivers
• Formal definition

Verification

• Cryptographic checksums
• Embedded signatures
• Sharing certifications
• Rebuilders

Specifications

• SOURCE_DATE_EPOCH
• BUILD_PATH_PREFIX_MAP (WIP)