NixOS-is on pakutud meetodit kaitseks tagavarakoodide asendamise vastu, nagu XZ-s.

NixOS-i jaotises kasutatava nixpkgs pakettide repositooriumi lisamiseks on välja pakutud korduvate koostamiste režiim, mis võimaldab tuvastada koodis tagaukse kasutuselevõtu juhtumeid, mis meenutavad XZ projekti intsidenti. Esitatud kaitsemeetod võimaldab avastada versiooni lähtekoodi arhiivides puuduvad muudatused, mis ei ole koodirepositooriumites.

Meetodi põhimõte seisneb selles, et uue rakenduse versiooni lähtekood koostatakse kaks korda — esmalt git-repositooriumist alla laaditud koodist ja seejärel valmis arhiivides jagatava koodi põhjal. Kui koostamise tulemusena saadud binaarfailid erinevad, tekib kahtlus varjatud muudatuste olemasolus kas repositooriumis või koodiga arhiivifailis.

Tuletame meelde, et XZ projekti puhul ei sisaldanud koodirepositoorium kahtlasi muudatusi. Tagaukse tekitamiseks vajalikud kahjulikud komponendid toodi testkomplekti failide kaudu, mida kasutati XZ dekompilaatori õige töö kontrollimiseks. Tagauks aktiveerus ülesehitusprotsessi tasemel ning XZ lähedakood kattus repositooriumi koodiga. Tagaukse aktiveerimise m4-makrosid Automake tööriistade jaoks sisaldusid ainult valmis koodiarhiivis ja neid ei olnud repositooriumis.

XZ-sse pandi tagauks sisse häkker, kes saavutas projektis hooldaja staatuse. Tagaukse integreerimine ei märgatud kohe, kuna distributsioonid koguvad enamasti pakette, laadides koodi valmis arhiividest, sest koodi allalaadimisel võib piirduda ühe kontrollsummaga arhiivifaili terviklikkuse kontrollimiseks ja kasutada peegleid. Koodi kontrollimisel keskendutakse peamiselt repositooriumi sisu analüüsimisele, seetõttu ei pruugi arhiivides olevad mitteilmsed erinevused alati kohe välja tulla.

Failide arhiivide ja väljalõigete, mis vastavad väljaannetega, vastavuse kontrollimise lihtsustamiseks, on mõned avatud projektid, nagu PostgreSQL, kasutusele võtnud korduva arhiivide genereerimise süsteemi. Antud juhul pakutakse tööriistu, mis võimaldavad teil ise oma arhiivi koodeksist koguda, mis on täielikult kooskõlas allalaadimiseks saadaval oleva valmis arhiiviga. Kui iseseisvalt loodud arhiiv ja põhiprojektist saadud arhiiv erinevad, tähistab see hoidla või standardse arhiivi kompromiteerimist.

Probleem on selles, et selline meetod on praktikas haruldane, samas kui paljud projektid jätkavad arhiveerimist lisaartefaktidega, mis puuduvad põhihoidlas, nagu man-lehed, dokumentatsioon, näited, pakettide loomiseks mõeldud skriptid ja täiendavad koostamisfailid. Selline olukord tekib peamiselt ajaloolistel põhjustel ja versioonide loomise protsesside eripärade tõttu. Lihtne vastavuse kontrollimine hoidla sisuga ja arhiiviga ei sobi sel juhul.

Väljapääsuna on ettepanek koguda väljaande binaarfailid nii hoidlast (näiteks saab kasutada GitHubis automaatselt genereeritud arhiivi versioonitagi jaoks) kui ka hooldaja ettevalmistatud arhiivist, seejärel võrreldes tulemusi. Katse korras on sellise kontrolli sisseviimine praegu ettepanek ainult paketi «xz» jaoks. Kui katse osutub edukaks, plaanitakse kontrolli kasutada ka teistes pakettides nixpkgs.

Allikas: opennet.ru