Wiki

Reproduzierbare Builds

Worum geht’s?

Technisch bedeutet ein reproduzierbarer Build, dass MediLog aus dem Quellcode gebaut werden kann und das Ergebnis mit der von mir bereitgestellten Installationsdatei (MediLog.apk) identisch ist.

Wenn beide APK-Dateien identisch sind, ist der Build reproduzierbar.

Das bedeutet konkret: z. B. F-Droid oder IzzyOnDroid können meinen Quellcode überprüfen und anschließend die App selbst bauen. Wenn ihr Ergebnis mit meinem übereinstimmt, ist sichergestellt, dass ich keine zusätzlichen Inhalte in das APK eingebaut habe, die nicht im öffentlichen Quellcode enthalten sind.

→ Keine Möglichkeit für Entwickler, versteckten oder schadhaften Code einzuschleusen, ohne dass es auffällt.

Warum ist das wichtig?

Neben den Sicherheitsvorteilen, die App-Stores wie F-Droid und IzzyOnDroid bieten, haben reproduzierbare Builds auch aus Nutzersicht mehrere Vorteile:

• F-Droid / IzzyOnDroid usw. können mein APK veröffentlichen und gleichzeitig sicherstellen, dass der Code korrekt ist und aus dem geprüften Quellcode gebaut wurde
• Schnellere Veröffentlichungen bei F-Droid, da nur neu gebaut und verglichen werden muss. Der aufwändige Offline-Signierungsprozess entfällt
• Nutzer können MediLog von beliebigen Quellen beziehen. Alle reproduzierbaren Versionen sind von mir signiert, daher sind Updates kompatibel über z. B. Codeberg, IzzyOnDroid, F-Droid oder andere Quellen
• Ich kann im Bedarfsfall Bugfixes oder Debug-Versionen direkt bereitstellen, ohne auf App-Store-Freigaben warten zu müssen
• Selbst wenn die Google-Developer-Verifizierung verpflichtend wird, kann F-Droid weiterhin die reproduzierbare Version von MediLog veröffentlichen

Builds und Signaturen

Aktuell gibt es drei offizielle Builds von MediLog:

1. Signiert von mir → alles in Ordnung und durch Drittanbieter wie F-Droid und IzzyOnDroid verifizierbar
2. Signiert von F-Droid → funktional korrekt, aber es wird empfohlen, auf die reproduzierbare Version umzusteigen
3. Signiert von Google → geschlossenes Ökosystem; ein Wechsel zu offenen App-Stores wird empfohlen

Jede andere Signatur sollte mit Vorsicht betrachtet werden (außer es ist deine eigene), da ich daran nicht beteiligt bin.

F-Droid nicht reproduzierbar

Falls du die von F-Droid signierte Version von MediLog verwendest, ist eine einmalige Migration erforderlich:

1. Installiere die reproduzierbare Version von MediLog aus einer beliebigen Quelle, z. B.
   F-Droid reproduzierbar
   Prüfe unter „Über“ im Sicherheitsbereich den Eintrag „App certificate“. Wenn dort O=zell-mbc.com steht, verwendest du eine reproduzierbare Variante.

2. Öffne die nicht reproduzierbare F-Droid-Version von MediLog.
   Prüfe ebenfalls „Über“. Wenn dort O=f-droid steht, verwendest du die F-Droid-signierte Version.

3. Erstelle ein Backup: Drei-Punkte-Menü → Datenverwaltung → Backup

4. Starte die reproduzierbare Version von MediLog

5. Importiere das Backup: Drei-Punkte-Menü → Datenverwaltung → Wiederherstellen

6. Prüfe, ob Daten und Einstellungen korrekt übernommen wurden

7. Fertig