{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google hat das OSS Rebuild-Projekt vorgestellt, um verborgene \u00c4nderungen in Paketen zu erkennen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Google hat das Projekt OSS Rebuild vorgestellt, das darauf abzielt, versteckte \u00c4nderungen in ver\u00f6ffentlichten Paketen in Repositories zu identifizieren. Die Arbeit von OSS Rebuild basiert auf dem Konzept von reproduzierbaren Builds und besteht darin, die \u00dcbereinstimmung des im Repository abgelegten Pakets mit dem Paket, das auf der Grundlage des Referenzquellcodes, der der angegebenen Version des Pakets entspricht, neu erstellt wurde, zu \u00fcberpr\u00fcfen. Der Code des Tools ist in der Programmiersprache Go geschrieben und wird unter der Apache 2.0-Lizenz ver\u00f6ffentlicht. <\/p>\n

Derzeit unterst\u00fctzt OSS Rebuild die \u00dcberpr\u00fcfung von Paketen aus den Repositories NPM (JavaScript\/TypeScript), PyPI (Python) und Crates.io (Rust). In Zukunft soll die Anzahl der unterst\u00fctzten Repositories erweitert werden. Praktisch erm\u00f6glicht das Tool die Identifizierung von Angriffen der Klasse \u201eSupply Chain\u201c, bei denen, nachdem Konten von Betreuern kompromittiert wurden oder es zu einer Sabotage innerhalb des Projekts kam, ein b\u00f6sartiges Update im Repository ver\u00f6ffentlicht wird. Dabei bleibt der Code im urspr\u00fcnglichen Repository des Hauptprojekts korrekt, w\u00e4hrend b\u00f6sartige \u00c4nderungen nur in die fertigen Pakete eingef\u00fchrt werden. <\/p>\n

Das System erstellt nach M\u00f6glichkeit automatisch ein Skript f\u00fcr den reproduzierbaren Build des ausgew\u00e4hlten Pakets, indem es Heuristiken verwendet und Parameter ausw\u00e4hlt, die eine Identit\u00e4t der gelieferten Artefakte im Paket erm\u00f6glichen. Wenn es nicht m\u00f6glich ist, das im Repository abgelegte Paket automatisch zu reproduzieren, kann eine Build-Spezifikation manuell hinzugef\u00fcgt werden. Nachdem das Paket erfolgreich reproduziert wurde, speichert das Tool OSS Rebuild die Beschreibung des Build-Prozesses zur sp\u00e4teren \u00dcberpr\u00fcfung neuer Versionen des Pakets. Zus\u00e4tzlich werden Informationen zur \u00dcberpr\u00fcfung unter Verwendung des SLSA-Frameworks ver\u00f6ffentlicht. <\/p>\n

Nach der \u00dcberpr\u00fcfung einer bestimmten Version des Pakets werden Zertifizierungsdaten erstellt, die von anderen zur Bewertung bereits verifizierter Pakete verwendet werden k\u00f6nnen. Die \u00dcberpr\u00fcfung kann durch das Ausf\u00fchren eines Kommandozeilenwerkzeugs oder durch den Abgleich eines Hashwerts, der in einem separaten Cloud-Speicher gespeichert ist, erfolgen. Die Infrastruktur zur \u00dcberpr\u00fcfung von Paketen kann auf eigenen Server<\/a>. Auch kann auf Informationen \u00fcber Pr\u00fcfungen zugegriffen werden, die von Google f\u00fcr mehrere Tausend Pakete durchgef\u00fchrt werden. <\/p>\n

Als Beispiele f\u00fcr verschiedene Angriffsmethoden, vor denen OSS Rebuild Schutz bieten k\u00f6nnte, werden das Hinzuf\u00fcgen eines Backdoors in XZ, das Einf\u00fcgen von sch\u00e4dlichem Code in den offiziellen JavaScript-Client f\u00fcr die Kryptow\u00e4hrung Solana und das Einf\u00fcgen von \u00c4nderungen \u00fcber den Actions-Handler changed-files angef\u00fchrt. <\/p>\n