{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google present\u00f3 el proyecto OSS Rebuild para identificar cambios ocultos en paquetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa Google present\u00f3 el proyecto OSS Rebuild, destinado a identificar cambios ocultos en los paquetes listos publicados en los repositorios. El funcionamiento de OSS Rebuild se basa en el concepto de compilaciones reproducibles y consiste en verificar la concordancia entre el paquete disponible en el repositorio y el paquete obtenido mediante la reconstrucci\u00f3n a partir del c\u00f3digo fuente de referencia correspondiente a la versi\u00f3n declarada del paquete. El c\u00f3digo de la herramienta est\u00e1 escrito en Go y se distribuye bajo la licencia Apache 2.0. <\/p>\n
Actualmente, OSS Rebuild soporta la verificaci\u00f3n de paquetes de los repositorios NPM (JavaScript\/TypeScript), PyPI (Python) y Crates.io (Rust). En el futuro, se planea ampliar el n\u00famero de repositorios soportados. En la pr\u00e1ctica, la herramienta permite identificar variantes de ataques de tipo 'supply chain', en los cuales, tras la compromisi\u00f3n de cuentas de mantenedores o mediante una sabotaje dentro del proyecto, se publica una actualizaci\u00f3n maliciosa en el repositorio. De este modo, el c\u00f3digo en el repositorio original del proyecto principal se mantiene correcto, y los cambios maliciosos solo se introducen en los paquetes ya preparados. <\/p>\n
El sistema, en la medida de lo posible, genera autom\u00e1ticamente un guion para la compilaci\u00f3n reproducible del paquete seleccionado, utilizando heur\u00edsticas y ajustando par\u00e1metros para lograr la identidad de los artefactos entregados en el paquete. Si no se puede reproducir autom\u00e1ticamente el paquete disponible en el repositorio, es posible agregar manualmente las especificaciones de compilaci\u00f3n. Una vez que se ha logrado reproducir el paquete, la herramienta OSS Rebuild guarda una descripci\u00f3n del proceso de compilaci\u00f3n para la posterior verificaci\u00f3n de nuevas versiones del paquete. Adem\u00e1s, se publica informaci\u00f3n para la verificaci\u00f3n utilizando el marco SLSA. <\/p>\n
Despu\u00e9s de realizar la verificaci\u00f3n de una versi\u00f3n espec\u00edfica del paquete, se generan datos de certificaci\u00f3n, que pueden ser utilizados por otros para evaluar paquetes ya verificados. La verificaci\u00f3n se puede llevar a cabo mediante la ejecuci\u00f3n de una utilidad de l\u00ednea de comandos o la comparaci\u00f3n de un hash, que se guarda en un almacenamiento en la nube separado. La infraestructura para la verificaci\u00f3n de paquetes se puede desplegar en su propio servidor<\/a>. Tambi\u00e9n se puede acceder a la informaci\u00f3n sobre las verificaciones realizadas por Google para miles de paquetes. <\/p>\n