{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google pr\u00e6senterede projektet OSS Rebuild for at identificere skjulte \u00e6ndringer i pakker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Google har pr\u00e6senteret projektet OSS Rebuild, der har til form\u00e5l at identificere skjulte \u00e6ndringer i f\u00e6rdige pakker, der publiceres i repositories. OSS Rebuilds arbejde er baseret p\u00e5 konceptet med reproducerbare builds og g\u00e5r ud p\u00e5 at kontrollere overensstemmelsen mellem den pakke, der er placeret i repositoryen, og den pakke, der er modtaget ved at gensamle fra den referencekode, der svarer til den angivne version af pakken. V\u00e6rkt\u00f8jets kode er skrevet i Go-sproget og distribueres under Apache 2.0-licensen. <\/p>\n

I \u00f8jeblikket er der implementeret support til verifikation af pakker fra NPM (JavaScript\/TypeScript), PyPI (Python) og Crates.io (Rust) i OSS Rebuild. I fremtiden planl\u00e6gger man at udvide antallet af underst\u00f8ttede repositories. I praksis muligg\u00f8r v\u00e6rkt\u00f8jet identificering af angreb af typen 'supply chain', hvor skadelige opdateringer offentligg\u00f8res i repositoryet efter kompromittering af konti tilknyttet projektet eller indre saboteringshandlinger. Koden i det oprindelige repository for hovedprojektet forbliver korrekt, mens skadelige \u00e6ndringer kun foretages i de f\u00e6rdige pakker. <\/p>\n

Systemet danner automatisk et script til reproducerbar build af den valgte pakke, hvis muligt, ved at bruge heuristik og v\u00e6lge parametre, der g\u00f8r det muligt at opn\u00e5 identitet i de artefakter, der leveres i pakken. Hvis det ikke er muligt automatisk at reproducere den pakke, der er offentliggjort i repositoryen, kan en build-specifikation tilf\u00f8jes manuelt. N\u00e5r det er lykkedes at reproducere pakken, gemmer v\u00e6rkt\u00f8jet OSS Rebuild beskrivelsen af build-processen til efterf\u00f8lgende kontrol af nye versioner af pakken. Derudover offentligg\u00f8res information til verifikation ved hj\u00e6lp af SLSA-rammen. <\/p>\n

Efter at en specifik version af pakken er blevet kontrolleret, genereres der attesteringsdata, som kan bruges af andre til at evaluere allerede verificerede pakker. Verifikation kan udf\u00f8res ved at k\u00f8re kommandolinjev\u00e6rkt\u00f8jet eller sammenligne en hash, der er gemt i en separat cloud-lagring. Infrastruktur til pakkeverifikation kan implementeres p\u00e5 egen serveren<\/a>. Man kan ogs\u00e5 drage fordel af information om verificeringer, der udf\u00f8res af Google for flere tusinde pakker. <\/p>\n

Som eksempler p\u00e5 forskellige angrebsmetoder, som OSS Rebuild kunne beskytte imod, n\u00e6vnes tilf\u00f8jelse af en backdoor i XZ, indf\u00f8ring af ondsindet kode i den officielle JavaScript-klient for kryptovalutaen Solana og indspr\u00f8jtning af \u00e6ndringer via actions-handleren changed-files: <\/p>\n