{"id":122969,"date":"2025-03-25T10:22:42","date_gmt":"2025-03-25T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz"},"modified":"2025-03-25T10:22:42","modified_gmt":"2025-03-25T08:22:42","slug":"v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","title":{"rendered":"NixOS-is on pakutud meetod, mis kaitseb tagasit\u00f5uketehnoloogiate nagu XZ ees.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
NixOS-i jaotises kasutatavate nixpkgs pakettide hoidlas on pakutud korduvate ehituste re\u017eiim, mis v\u00f5imaldab tuvastada koodis tagasit\u00f5uketehnoloogiate juurutamise juhtumeid, mis sarnanevad XZ projekti intsidentidega. Esitatud kaitsemeetod v\u00f5imaldab tuvastada muudatusi v\u00e4ljaku allikaarhivides, mida ei leidu koodi hoidlates. <\/p>\n
Meetodi olemus seisneb selles, et uue versiooni rakenduse l\u00e4htekood kogutakse kaks korda \u2014 esmakordselt git-repositooriumist laaditud koodist ja teist korda valmis arhiivides jaotatavatest koodidest. Kui saadud binaarfailid erinevad, on p\u00f5hjust kahtlustada, et repositooriumis v\u00f5i koodiarhiivi failis on peidetud modifikatsioone. <\/p>\n
K\u00e4esolevaga tuletame meelde, et XZ projekti puhul ei sisaldanud koodi hoidla kahtlasi muudatusi. Tagurpidi moodustavad pahatahtlikud komponendid tarniti XZ dekompresori t\u00f6\u00f6korralduse testimiskomplekti failide vahel. Tagurpidi aktiveeriti ehituss\u00fcsteemi tasemel, samas kui XZ algne kood vastas hoidla koodile. Tagurpidi aktiveerivad m4-makrosid Automake t\u00f6\u00f6riistade jaoks olid lisatud ainult valmis arhiivi koodiga ja puudusid hoidlas. <\/p>\n
XZ-sse oli tagurpidi sisestatud r\u00fcndaja, kes oli saavutanud projekti hooldaja staatuse. Tagurpidi sisestamine j\u00e4i koheselt m\u00e4rkamatuks, kuna jaotised koguvad p\u00f5hiliselt pakette, laadides koodi valmis arhiividest, kuna koodi laadimise korral piisab ainult \u00fche kontrollsummaga, et kontrollida arhiivifaili terviklikkust ja kasutada peeglite s\u00fcsteemi. Koodi kontrollimisel keskendutakse peamiselt hoidla sisu anal\u00fc\u00fcsile, mist\u00f5ttu arhiivide ebamugavad erinevused ei pruugi alati koheselt ilmneda. <\/p>\n
Failide arhiivide ja repositooriumi l\u00f5igete vastavuse kontrollimise lihtsustamiseks on m\u00f5ned avatud projektid, nagu PostgreSQL, v\u00f5tnud kasutusele korduvate arhiivide genereerimise s\u00fcsteemi. Selles olukorras pakutakse t\u00f6\u00f6riistu, mis v\u00f5imaldavad iseseisvalt koguda oma arhiivi, mis vastab t\u00e4ielikult laadimiseks saadaval olevale valmis arhiivile. Kui iseseisvalt loodud arhiiv ja p\u00f5hiprojekti pakutav arhiiv erinevad, t\u00e4hendab see repositooriumi v\u00f5i standardarhiivi kompromiteerimist. <\/p>\n
Probleem on selles, et sellist meetodit kasutatakse vaid harvadel juhtudel, samas kui paljud projektid j\u00e4tkavad t\u00e4iendavate artefaktide, n\u00e4iteks man-lehtede, dokumentatsiooni, n\u00e4idiste, distributiivide paketiscripts ja t\u00e4iendavate koostamisfailide lisamist arhiividesse. Enamasti toimub see ajalooliste p\u00f5hjuste ja v\u00e4ljaannete koostamise protsesside erip\u00e4ra t\u00f5ttu. Lihtne repositooriumi sisu ja arhiivi vastavuse kontrollimine ei sobi sellisel juhul. <\/p>\n
Kuidas soovitatakse koguda binaarfailide versiooniv\u00e4ljaandeid, nii repositooriumist (n\u00e4iteks v\u00f5ib kasutada GitHubi automaatselt genereeritud arhiivi versioonitagi jaoks) kui ka kaasrahastaja valmistatud arhiivist, v\u00f5rreldes seej\u00e4rel tulemust. Eksperimendi raames on sarnase kontrolli lisamine hetkel ette n\u00e4htud ainult pakendi «xz» jaoks. Kui eksperiment osutub edukas, plaanitakse kontrollimeetodit kasutada ka teistes pakettides nixpkgs-is. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"