{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google hat das Projekt OSS Rebuild vorgestellt, das dazu dient, versteckte \u00c4nderungen in Paketen zu erkennen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Unternehmen Google hat das Projekt OSS Rebuild ins Leben gerufen, das darauf abzielt, unsichtbare \u00c4nderungen in fertiggestellten Paketen, die in Repositories ver\u00f6ffentlicht werden, zu identifizieren. Die Funktionsweise von OSS Rebuild basiert auf dem Konzept reproduzierbarer Builds und beschr\u00e4nkt sich auf den Abgleich des im Repository ver\u00f6ffentlichten Pakets mit dem aus dem Referenz-Quellcode erzeugten Paket, das der angegebenen Version des Pakets entspricht. Der Code des Tools ist in Go geschrieben und wird unter der Apache 2.0-Lizenz vertrieben. <\/p>\n

Derzeit unterst\u00fctzt OSS Rebuild die Verifizierung von Paketen aus den Repositories NPM (JavaScript\/TypeScript), PyPI (Python) und Crates.io (Rust). In Zukunft planen wir, die Anzahl der unterst\u00fctzten Repositories zu erweitern. In der Praxis erm\u00f6glicht das Tool die Identifizierung von Angriffsvektoren der Klasse \u201eSupply Chain\u201c, bei denen nach einer Kompromittierung von Konten oder durch eine Sabotage innerhalb des Projekts ein sch\u00e4dliches Update in das Repository ver\u00f6ffentlicht wird. Der Code im urspr\u00fcnglichen Repository des Hauptprojekts bleibt dabei intakt, w\u00e4hrend sch\u00e4dliche \u00c4nderungen nur in die fertigen Pakete eingef\u00fcgt werden. <\/p>\n

Das System generiert automatisch einen reproduzierbaren Build-Szenario f\u00fcr das ausgew\u00e4hlte Paket, indem es Heuristiken verwendet und Parameter ausw\u00e4hlt, die eine Identit\u00e4t der im Paket gelieferten Artefakte gew\u00e4hrleisten. Wenn das Paket im Repository nicht automatisch reproduziert werden kann, besteht die M\u00f6glichkeit, eine Build-Spezifikation manuell hinzuzuf\u00fcgen. Nachdem das Paket erfolgreich reproduziert wurde, speichert das OSS Rebuild-Toolkit eine Beschreibung des Build-Prozesses zur sp\u00e4teren \u00dcberpr\u00fcfung neuer Paketversionen. Zus\u00e4tzlich werden Informationen zur Verifizierung unter Verwendung des SLSA-Frameworks ver\u00f6ffentlicht. <\/p>\n

Nach der \u00dcberpr\u00fcfung einer bestimmten Version des Pakets werden Attestierungsdaten erstellt, die von anderen zur Bewertung bereits verifizierter Pakete verwendet werden k\u00f6nnen. Die \u00dcberpr\u00fcfung kann durch das Ausf\u00fchren eines Befehlszeilen-Tools oder den Abgleich eines in einem separaten Cloud-Speicher gespeicherten Hashs erfolgen. Die Infrastruktur zur \u00dcberpr\u00fcfung von Paketen kann in einer eigenen Server<\/a>. Au\u00dferdem k\u00f6nnen Informationen \u00fcber die von Google durchgef\u00fchrten \u00dcberpr\u00fcfungen f\u00fcr mehrere tausend Pakete genutzt werden. <\/p>\n

Ein Beispiel f\u00fcr verschiedene Angriffsmethoden, gegen die OSS Rebuild Schutz bieten k\u00f6nnte, ist das Hinzuf\u00fcgen eines Backdoors in XZ, das Einschleusen von b\u00f6sartigem Code in den offiziellen JavaScript-Client der Kryptow\u00e4hrung Solana und das Einf\u00fcgen von \u00c4nderungen \u00fcber den Actions-Handler changed-files. <\/p>\n