{"id":122969,"date":"2025-03-25T10:22:42","date_gmt":"2025-03-25T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz"},"modified":"2025-03-25T10:22:42","modified_gmt":"2025-03-25T08:22:42","slug":"v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","title":{"rendered":"NixOS-is on pakutud meetodit kaitseks tagavarakoodide asendamise vastu, nagu XZ-s.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
NixOS-i jaotises kasutatava nixpkgs pakettide repositooriumi lisamiseks on v\u00e4lja pakutud korduvate koostamiste re\u017eiim, mis v\u00f5imaldab tuvastada koodis tagaukse kasutuselev\u00f5tu juhtumeid, mis meenutavad XZ projekti intsidenti. Esitatud kaitsemeetod v\u00f5imaldab avastada versiooni l\u00e4htekoodi arhiivides puuduvad muudatused, mis ei ole koodirepositooriumites. <\/p>\n
Meetodi tuum on see, et uue versiooni rakenduse l\u00e4htekood kogutakse kaks korda - esmakordselt git-repositooriumist laaditud koodist ja teiseks valmistatud arhiividest levitatavast koodist. Kui kogumise tulemusena saadud binaarfailid erinevad, annab see p\u00f5hjust kahtlustada, et repositooriumis v\u00f5i arhiivifailis on salajasi muudatusi. <\/p>\n
Tuletame meelde, et XZ projekti puhul ei sisaldanud koodirepositoorium kahtlasi muudatusi. Tagaukse tekitamiseks vajalikud kahjulikud komponendid toodi testkomplekti failide kaudu, mida kasutati XZ dekompilaatori \u00f5ige t\u00f6\u00f6 kontrollimiseks. Tagauks aktiveerus \u00fclesehitusprotsessi tasemel ning XZ l\u00e4hedakood kattus repositooriumi koodiga. Tagaukse aktiveerimise m4-makrosid Automake t\u00f6\u00f6riistade jaoks sisaldusid ainult valmis koodiarhiivis ja neid ei olnud repositooriumis. <\/p>\n
XZ-sse pandi tagauks sisse h\u00e4kker, kes saavutas projektis hooldaja staatuse. Tagaukse integreerimine ei m\u00e4rgatud kohe, kuna distributsioonid koguvad enamasti pakette, laadides koodi valmis arhiividest, sest koodi allalaadimisel v\u00f5ib piirduda \u00fche kontrollsummaga arhiivifaili terviklikkuse kontrollimiseks ja kasutada peegleid. Koodi kontrollimisel keskendutakse peamiselt repositooriumi sisu anal\u00fc\u00fcsimisele, seet\u00f5ttu ei pruugi arhiivides olevad mitteilmsed erinevused alati kohe v\u00e4lja tulla. <\/p>\n
Failide arhiivide ja repositooriumi l\u00f5igude vastavuse kontrollimise lihtsustamiseks on m\u00f5ned avatud projektid, n\u00e4iteks PostgreSQL, rakendanud korduvate arhiivide genereerimise s\u00fcsteemi. Antud juhul on saadaval t\u00f6\u00f6riistakomplekt, mis v\u00f5imaldab iseseisvalt koguda oma arhiivi, mis vastab t\u00e4ielikult allalaadimiseks kergesti saadaval olevale arhiivile. Kui iseseisvalt loodud arhiiv ja p\u00f5hiprojektist antud arhiiv erinevad - on tegemist repositooriumi v\u00f5i standardarhiivi kompromiseerimisega. <\/p>\n
Probleem on selles, et selline meetod on praktikas haruldane, samas kui paljud projektid j\u00e4tkavad arhiveerimist lisaartefaktidega, mis puuduvad p\u00f5hihoidlas, nagu man-lehed, dokumentatsioon, n\u00e4ited, pakettide loomiseks m\u00f5eldud skriptid ja t\u00e4iendavad koostamisfailid. Selline olukord tekib peamiselt ajaloolistel p\u00f5hjustel ja versioonide loomise protsesside erip\u00e4rade t\u00f5ttu. Lihtne vastavuse kontrollimine hoidla sisuga ja arhiiviga ei sobi sel juhul. <\/p>\n
Lahenduseks on soovitatud koguda v\u00e4ljaande binaarfailid nii repositooriumist (n\u00e4iteks v\u00f5ib kasutada GitHubis automaatselt genereeritud arhiivi v\u00e4ljalaske sildiga) kui ka saatja ettevalmistatud arhiivist, v\u00f5rreldes seej\u00e4rel tulemust. Katse k\u00e4igus on sarnase kontrollimise h\u00f5lmamine esialgu pakkuda ainult paketile \u00abxz\u00bb. Kui katse on edukas, plaanitakse kontrollimist kasutada ka teistes pakettides nixpkgs-s. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"