Google представи проекта OSS Rebuild за откриване на скрити промени в пакетите

Компанията Google представи проекта OSS Rebuild, предназначен за откриване на скрити промени в готови пакети, публикувани в репозиториите. Работата на OSS Rebuild е базирана на концепцията за повторяеми сборки и се състои в проверка на съответствието на публикувания в репозитория пакет с пакета, получен на база повторна сборка от еталонния изходен код, съответстващ на заявената версия на пакета. Кодът на инструмента е написан на езика Go и се разпространява под лицензия Apache 2.0.

В момента в OSS Rebuild е реализирана поддръжка за верификация на пакети от репозиториите NPM (JavaScript/TypeScript), PyPI (Python) и Crates.io (Rust). В бъдеще броят на поддържаните репозитории планират да разширят. На практика инструментът позволява откриването на атаки от клас „supply chain“, при които след компрометиране на акаунти или диверсия в проекта, в репозитория се публикува злонамерено обновление. При това кодът в основния проект остава коректен, а злонамерените промени се внасят само в готовите пакети.

Системата, по възможност, автоматично генерира сценарий за повторяемо изграждане на избрания пакет, използвайки хевристика и подбирайки параметри, позволяващи постигането на идентичност на артефактите, доставяни в пакета. Ако автоматично не успее да повтори публикувания в репозитория пакет, е възможно ръчно добавяне на спецификация за изграждане. След като е успяла да повтори пакета, инструментът OSS Rebuild запазва описанието на процеса на изграждане за последваща проверка на нови версии на пакета. Допълнително се публикува информация за верификация с използване на рамката SLSA.

След провеждането на проверка на конкретна версия на пакета се генерират данни за удостоверяване, които могат да се използват от други за оценка на вече проверени пакети. Проверка може да се извърши чрез стартиране на команден инструмент или проверка на хеш, запазен в отделно облачно хранилище. Инфраструктурата за проверка на пакети може да се разположи на собствен сървър. Може също така да се възползвате от информацията за проверките, извършвани в Google за няколко хиляди пакета.

Примери на различни методи на атака, от които OSS Rebuild може да осигури защита, включват добавяне на бекдор в XZ, внедряване на зловреден код в официалния JavaScript клиент за криптовалутата Solana и инжектиране на промени чрез обработчика Actions за changed-files:

• В случая с проекта XZ кодът в репозитория не съдържаше подозрителни промени, а съставляващите бекдор зловредни компоненти бяха вложени в файловете, използвани в тестовия набор за проверка на коректността на работата на разархиватора XZ. Бекдорът се активираше на ниво система за сборка, а самият изходен код на XZ съвпадаше с кода от репозитория. Активиращите бекдор m4 макроси за инструментария Automake бяха включени само в готовия архив с кода и отсъстваха в репозитория. За разкриване на подобни атаки в OSS Rebuild се използва динамичен анализ на доставените артефакти, пътищата на изпълнение и подозрителните операции.
• Инжектирането на зловредни промени в библиотеката @solana/web3.js стана в резултат на компрометиране на акаунта на поддържащия, използвайки методи на социално инженерство и фишинг. В репозитория на NPM беше публикуван ново издание, включващо зловредни изменения. В Git репозитория на проекта това издание не беше създадено и зловредните промени присъстваха само в крайния пакет. Защита в този случай се състои в разкриването на код в пакета, отсъстващ в основния репозитория.
• Компрометирането на репозитория на обработчика changed-files позволи провеждането на атака на проекти, използващи changed-files за проследяване на промени в файлове и директории в инфраструктура за непрекъсната интеграция, базирана на GitHub Actions. За защита срещу инжектиране на промени след компрометиране на средата за сборка в OSS Rebuild се използва проследяване на промените и подозрителната активност в стандартизирани минимизирани сборни среди.

Източник: opennet.ru