{"id":122969,"date":"2025-03-25T10:22:42","date_gmt":"2025-03-25T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz"},"modified":"2025-03-25T10:22:42","modified_gmt":"2025-03-25T08:22:42","slug":"v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","title":{"rendered":"I NixOS er der foresl\u00e5et en metode til beskyttelse mod implantater af bagd\u00f8re, som i XZ.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
For at inkludere i pakke-repositoriet nixpkgs, der anvendes i NixOS-distributionen, er der foresl\u00e5et en metode til reproducerbare builds, som g\u00f8r det muligt at identificere tilf\u00e6lde af bagd\u00f8re i koden, der minder om h\u00e6ndelsen med projektet XZ. Den pr\u00e6senterede beskyttelsesmetode muligg\u00f8r opdagelse af \u00e6ndringer i arkiver med kildetekst for udgivelser, som ikke er til stede i kode-repositorierne. <\/p>\n
Essensen i metoden er, at kildekoden til den nye version af applikationen samles to gange \u2014 f\u00f8rste gang fra koden, der er indl\u00e6st fra git-repositoriet, og anden gang fra koden, der distribueres i f\u00e6rdige arkiver. Hvis de bin\u00e6re filer, der resulterer fra samlinger, adskiller sig, kan der v\u00e6re grund til mistanke om skjulte modifikationer i repositoriet eller i det arkiv, der indeholder koden. <\/p>\n
Det skal bem\u00e6rkes, at i tilf\u00e6lde af projektet XZ indeholdt kode-repositoriet ikke mist\u00e6nkelige \u00e6ndringer. De bagd\u00f8rs-malicious komponenter blev leveret i filer brugt i test-s\u00e6ttet til at kontrollere korrektheden af XZ-dekompressoren. Bagd\u00f8ren blev aktiveret p\u00e5 niveauet for byggesystemet, mens selve koden fra XZ svarede til koden fra repositoriet. De aktiverende bagd\u00f8rs m4-makroer til Automake-v\u00e6rkt\u00f8jet blev kun inkluderet i det f\u00e6rdige arkiv med koden og var ikke til stede i repositoriet. <\/p>\n
Bagd\u00f8ren i XZ blev indf\u00f8rt af en angriber, der opn\u00e5ede status som vedligeholder i projektet. Implantationen af bagd\u00f8ren blev ikke opdaget straks, da distributioner hovedsageligt bygger pakker ved at hente koden fra f\u00e6rdige arkiver, da man ved hentning af koden til bygning kan n\u00f8jes med en kontrolsum til at verificere filens integritet for arkivet og bruge spejle. Den prim\u00e6re opm\u00e6rksomhed ved kontrol af koden er fokuseret p\u00e5 analysen af indholdet af repositoriet, s\u00e5 ikke-opfattelige forskelle i arkiverne kan ikke altid straks opdages. <\/p>\n
For at forenkle kontrollen af overensstemmelsen mellem arkivfiler og udsnit fra repositoriet, der svarer til udgivelser, har nogle \u00e5bne projekter, som PostgreSQL, indf\u00f8rt et system for gentagelig generering af arkiver. I dette tilf\u00e6lde stilles v\u00e6rkt\u00f8jer til r\u00e5dighed, som g\u00f8r det muligt selv at samle sit arkiv fra koden, der helt svarer til det f\u00e6rdige arkiv, der er tilg\u00e6ngeligt for download. Hvis det selvst\u00e6ndigt oprettede arkiv adskiller sig fra det arkiv, der tilbydes af hovedprojektet, er der tale om et kompromis i repositoriet eller det standardiserede arkiv. <\/p>\n
The problem is that such a method is only practiced in certain cases, while many projects continue to include additional artifacts in archives that are not present in the main repository, such as man pages, documentation, examples, package build scripts for distributions, and additional build files. This mainly occurs due to historical reasons and the peculiarities of the release formation processes. A simple check of the repository content against the archive is not suitable in this case. <\/p>\n
Som l\u00f8sning er det foresl\u00e5et at samle bin\u00e6re filer til udgivelser b\u00e5de fra repositoriet (for eksempel kan man bruge det automatisk genererede GitHub-arkiv til release-tagget) og fra det arkiv, der er forberedt af vedligeholderen, hvorefter resultatet sammenlignes. Som eksperiment er denne type kontrol kun foresl\u00e5et for pakken \u00abxz\u00bb. Hvis eksperimentet viser sig at v\u00e6re vellykket, planl\u00e6gges det at bruge kontrollerne i andre pakker i nixpkgs. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"