Google представи проекта OSS Rebuild за идентифициране на скрити промени в пакетите

Компания Google представи проекта OSS Rebuild, предназначен за откритие скрити промени в готови пакети, публикувани в репозиториите. Работата на OSS Rebuild е основана на концепцията за възпроизведими сборки и се състои в проверка на съответствието на разположения в репозитория пакет с пакета, получен при повторно изграждане от еталонния изходен код, съответстващ на заявената версия на пакета. Кодът на инструментариума е написан на езика Go и се разпространява под лиценза Apache 2.0.

В момента OSS Rebuild поддържа верификация на пакети от репозиториите NPM (JavaScript/TypeScript), PyPI (Python) и Crates.io (Rust). В бъдеще планират да разширят броя на поддържаните репозитории. На практика инструментариумът позволява да се откриват варианти на атаки от клас "supply chain", при които след компрометиране на сметки или диверсия вътре в проекта в репозиторията се публикува злонамерено обновление. В този случай кодът в изходния репозиторий на основния проект остава коректен, а злонамерените промени се внасят само в готовите пакети.

Системата, по възможност, автоматично формулира сценарий за възпроизведима сборка на избрания пакет, използвайки евристики и подбирайки параметри, позволяващи постигането на идентичност на артефактите, доставяни в пакета. Ако автоматично не успее да възпроизведе разположения в репозитория пакет, възможно е ръчно добавяне на спецификация за изграждане. След като успее да възпроизведе пакета, инструментариумът OSS Rebuild запазва описание на процеса на изграждане за последваща проверка на новите версии на пакета. Освен това се публикува информация за верификация, използвайки рамката SLSA.

След извършване на проверка на конкретна версия на пакета се генерират данни за атестация, които могат да се използват от други за оценка на вече верифицирани пакети. Проверка може да се извърши чрез стартиране на командния инструмент или сверяване на хаша, съхранен в отделно облачно хранилище. Инфраструктурата за проверка на пакети може да бъде разверната на собствено сървър. Може също така да се възползвате от информацията за проверките, извършвани в Google за няколко хиляди пакета.

Примери на различни методи за атака, от които OSS Rebuild може да осигури защита, включват добавянето на бекдор в XZ, внедряване на зловреден код в официалния JavaScript клиент за криптовалутата Solana и подмяна на промени чрез Actions обработчика changed-files:

• В случая с проекта XZ кодът в репозитория не е съдържал подозрителни промени, а образуващите бекдор зловредни компоненти са били доставени в файловете, използвани в тестовия набор за проверка на коректността на разархиватора XZ. Бекдорът се е активирал на ниво система за компилиране, а самият изходен код на XZ е съвпадал с кода от репозитория. Активиращите бекдора m4 макроси за инструмента Automake бяха включени само в готовия архив с код и липсваха в репозитория. За откриване на подобни атаки OSS Rebuild използва динамичен анализ на артифактите, доставени в пакета, пътищата на изпълнение и подозрителни операции.
• Подмяната на зловредни промени в библиотеката @solana/web3.js е настъпила поради компрометиране на акаунта на поддържащия, използвайки методи за социално инженерство и фишинг. В репозитория на NPM е публикувано ново издание, което включва зловредни промени. В Git репозитория на проекта това издание не е било създадено и зловредните промени са присъствали само в крайния пакет. Защита в този случай се свежда до откритие на кода в пакета, който липсва в основния репозитория.
• Компрометирането на репозитория на обработчика changed-files е позволило провеждането на атака на проекти, които използват changed-files за проследяване на промените в файловете и каталогите в непрекъсната интеграция на базата на GitHub Actions. За защита от подмяна на промените след компрометиране на средата за компилиране OSS Rebuild прилага проследяване на промените и подозрителната активност в стандартизирани ограничени среди за компилиране.

Източник: opennet.ru