Bootstrappable Builds: Xây Dựng Từ Hạt Giống — Tại Sao và Như Thế Nào?

Tại hội nghị FOSSY 2026, Timothy Sample đã trình bày về khái niệm "bootstrappable builds", một phương pháp xây dựng hệ thống phần mềm từ một đoạn mã tối thiểu, không phụ thuộc vào các tệp nhị phân biên dịch sẵn. Cách tiếp cận này không chỉ giúp tăng cường bảo mật, chống lại các cuộc tấn công kiểu "Trusting Trust" mà còn là chìa khóa để đạt được sự tự do và minh bạch tuyệt đối trong phần mềm. Bài viết cũng giới thiệu dự án Germ, một nỗ lực thú vị nhằm đơn giản hóa và cải thiện hiệu năng của quá trình bootstrapping hiện tại.

Bootstrappable Builds là gì?

Hầu hết người dùng Linux quen thuộc với khái niệm reproducible builds — khả năng tái tạo lại một tệp nhị phân bit-for-bit giống hệt nhau từ cùng một mã nguồn. Tuy nhiên, ít người biết đến "bootstrappable builds", một khái niệm đi xa hơn, nhằm xây dựng toàn bộ hệ thống từ một "hạt giống" cực nhỏ.

Ý tưởng cốt lõi là bắt đầu từ một chương trình rất nhỏ, có thể biên dịch một chương trình lớn hơn một chút, rồi từ đó lại biên dịch một chương trình lớn hơn nữa, và cứ thế tiếp tục cho đến khi toàn bộ hệ thống Linux hiện đại được tạo ra mà không cần bất kỳ tệp nhị phân nào được biên dịch trước đó.

Hãy tưởng tượng việc làm sữa chua: bạn cần một ít sữa chua ban đầu để bắt đầu quá trình lên men. Tương tự, để biên dịch một trình biên dịch C, bạn thường cần một trình biên dịch C đã có sẵn. Điều này tạo ra một vấn đề "con gà và quả trứng" — với các trình biên dịch tự lưu trữ (self-hosting), mã nguồn không thể tự nó giải thích nguồn gốc của tệp nhị phân.

Vấn đề bảo mật: Cuộc tấn công "Trusting Trust"

Lợi ích lớn nhất của bootstrappable builds nằm ở khía cạnh bảo mật, đặc biệt là khả năng chống lại cuộc tấn công nổi tiếng được mô tả trong bài giảng Turing Award của Ken Thompson: Reflections on Trusting Trust.

Sample giải thích: "Một câu hỏi kinh điển là trong trình biên dịch C, định nghĩa của '\n' nằm ở đâu? Bạn sẽ không tìm thấy định nghĩa đó trong mã nguồn, nó chỉ thấy định nghĩa tròn trịa '\n' là '\n'. Việc chuyển đổi '\n' thành ASCII 10 nằm trong chính tệp nhị phân của trình biên dịch."

Điều này có nghĩa là một kẻ tấn công có thể giấu một cửa hậu (backdoor) ngay trong trình biên dịch mà không để lại bất kỳ dấu vết nào trong mã nguồn. Một nghiên cứu gần đây đã chỉ ra một cuộc tấn công thực tế vào chương trình strip trên NixOS, có thể "cài backdoor vào hầu hết mọi chương trình trên hệ thống một cách hoàn toàn vô hình trước việc phân tích mã nguồn."

Làm thế nào để Bootstrappable?

Timothy Sample đưa ra vài cách tiếp cận:

1. Chiến lược chủ động: Bảo tồn phiên bản không tự lưu trữ

Trước khi một trình biên dịch tự lưu trữ nó, nó thường được viết bằng một ngôn ngữ khác. Việc giữ lại mã nguồn gốc đó là rất quan trọng. Ví dụ, dự án GNU Guile vẫn duy trì một bản cài đặt C của ngôn ngữ Scheme để phục vụ cho việc bootstrapping. Tương tự, GNU Make cũng có một script shell như là một phương án dự phòng.

2. "Khai quật khảo cổ học"

Với những công cụ chỉ hỗ trợ build tự lưu trữ, phương pháp này sử dụng lịch sử dự án để tìm phiên bản không tự lưu trữ từ thời xa xưa và build nó bằng các công cụ của thời kỳ đó. Sau đó, bạn phải "di chuyển qua lịch sử, từng phiên bản một" cho đến khi đạt được công cụ hiện đại. Ví dụ, để bootstrap trình biên dịch Rust, dự án Guix bắt đầu với mrustc (viết bằng C++) để build Rust 1.54, sau đó phải build gần như tất cả các phiên bản trung gian để lên Rust 1.97 hiện tại — một quá trình cực kỳ chậm chạp.

3. "Chế tạo công cụ riêng"

Thay vì đi qua nhiều bước, bạn có thể tạo một công cụ chuyên biệt chỉ để bootstrap một công cụ khác. mrustc là một ví dụ điển hình. Cách này tạo ra một mã nguồn duy nhất để kiểm tra, nhưng mất rất nhiều thời gian để phát triển và bảo trì.

Kết hợp cả hai phương pháp

Cách thành công nhất là kết hợp cả hai: quay ngược thời gian về một phiên bản đơn giản hơn, sau đó dùng một công cụ chuyên biệt để build, rồi lại tiến lên các phiên bản hiện đại. Đây chính là chiến lược được Guix sử dụng.

Hạt giống hiện tại và dự án Germ

Hiện tại, hệ thống Guix đã có thể bootstrap từ một hạt giống chỉ khoảng 256 byte thay vì một "blob" 250MB như trước đây. Hạt giống này là chương trình hex0, có thể "xây dựng qua nhiều tầng lớp và cuối cùng đạt tới GCC 2, GCC 4, GCC hiện đại và Guile hiện đại."

Tuy nhiên, quá trình này cực kỳ phức tạp, với một lộ trình lên tới 182 bước để build ra một hệ thống cơ bản. Chính vì vậy, Timothy Sample đang phát triển Germ, một trình thông dịch Scheme có kích thước chỉ 2.25KB, được viết trực tiếp bằng assembly. Đây là một hạt giống "gần như Scheme ngay từ đầu", có thể chạy một trình hợp ngữ (assembler) viết bằng Scheme, từ đó build ra một trình thông dịch Scheme hoàn chỉnh hơn.

Mục tiêu của Germ là loại bỏ sự phức tạp của "một tòa tháp các assembler và compiler được tạo riêng cho các ngôn ngữ không tồn tại", mang lại một con đường ngắn hơn, trực tiếp hơn đến đích của Guix.

Mặc dù Germ vẫn còn chậm hơn và kém khả chuyển (chỉ hỗ trợ x86_64) so với các giải pháp hiện tại, đây là một hướng đi đầy hứa hẹn. Việc tích hợp Germ vào Guix có thể thay thế %bootstrap-guile và giúp giảm đáng kể số bước xây dựng, tăng cường khả năng xác minh toàn bộ hệ thống.

Kết luận

Bootstrappable builds, cùng với reproducible builds và Diverse Double Compiling (DDC), là những công cụ quan trọng để xây dựng một nền tảng phần mềm đáng tin cậy và minh bạch. Chúng giải quyết các vấn đề bảo mật khác nhau:

• Reproducible builds: giải quyết vấn đề tệp nhị phân cuối cùng có thể bị hỏng hoặc sai lệch.
• Diverse Double Compiling (DDC): giải quyết vấn đề công cụ build có thể bị xâm nhập.
• Bootstrappable builds: cung cấp một công cụ build mà bạn có lý do chính đáng để tin tưởng nó không bị xâm nhập từ đầu.

Đây là một lĩnh vực còn khá mới mẻ nhưng có tầm quan trọng chiến lược, đặc biệt trong bối cảnh các cuộc tấn công vào chuỗi cung ứng phần mềm đang ngày càng tinh vi. Việc theo dõi và ủng hộ các dự án như Guix, live-bootstrap và Germ sẽ giúp cộng đồng tiến gần hơn tới một tương lai nơi phần mềm thực sự "sạch sẽ" từ gốc rễ.