В NixOS е предложен метод за защита от подмяна с бекдори, подобни на XZ

За да се включите в хранилището на пакети nixpkgs, използвани в дистрибуцията NixOS, е предложен режим на повторяеми сборки, който позволява откриването на случаи на внедряване на бекдори в кода, напомнящи инцидента с проекта XZ. Представеният метод на защита позволява откриването на модификации в архивите с изходния код на релиза, които липсват в хранилищата с код.

Същността на метода е, че изходният код на новата версия на приложението се компилира два пъти — първият път от кода, изтеглен от git-репозитория, а вторият — от кода, разпространяван в готови архиви. Ако получените в резултат на компилациите бинарни файлове се различават, това създава поводи за подозрения за наличието на скрити модификации в репозитория или в архивния файл с кода.

Напомняме, че в случая с проекта XZ хранилището с код не съдържаше подозрителни изменения. Формуващите бекдор вредоносни компоненти бяха доставени вътре в файловете, използвани в тестовия набор за проверка на правилната работа на разархиватора XZ. Бекдорът се активираше на ниво система за сборка, а самият изходен код XZ съвпадаше с кода от хранището. Активиращите бекдора m4 макроси за инструментария Automake бяха включени само в готовия архив с код и липсваха в хранилището.

Бекдорът в XZ беше внедрен от злонамерен актьор, постигнал статус на поддържач в проекта. Внедряването на бекдора не беше забелязано веднага, тъй като дистрибуциите основно изграждат пакети, изтегляйки код от готови архиви, тъй като при изтегляне на кода за сборка може да се разчита на само една контролнна сума за проверка на целостта на архива и да се използват огледала. Основното внимание при проверката на кода е съсредоточено върху анализа на съдържанието на хранилището, така че неочевидните различия в архивите не винаги могат да бъдат незабавно открити.

С цел опростяване на проверката на съответствието между архивираните файлове и клоновете на репозитория, отговарящи на релизите, някои отворени проекти, като PostgreSQL, са въвели система за повторяемо генериране на архиви. В този случай се предоставя инструментарий, позволяващ сами да създадете свой архив от код, който напълно отговаря на готовия архив, достъпен за изтегляне. Ако независимият архив и архивът, предоставен от основния проект, се различават — има компрометация на репозитория или на референтния архив.

Проблемът е, че подобен метод се практикува само в някои случаи, докато много проекти продължават да включват в архивите допълнителни артефакти, отсъстващи от основния репозитория, като man-страници, документация, примери, сценарии за създаване на пакети за дистрибуции и допълнителни файлове за сглобяване. Основно това се случва по исторически причини и особености на процесите на формиране на издания. Простата проверка на съответствието на съдържанието на репозитория и архив в този случай не е подходяща.

Като решение е предложено да се събират бинарни файлове на релиза, както от репозитория (например, може да се използва автоматично генерираният в GitHub архив за релизния таг), така и от архива, подготвен от поддържащия, след което да се сравнява резултатът. Като експеримент, включването на подобна проверка е предложено засега само за пакета „xz“. Ако експериментът се окаже успешен, проверките ще се използват и в други пакети в nixpkgs.

Източник: opennet.ru