{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google a pr\u00e9sent\u00e9 le projet OSS Rebuild pour d\u00e9tecter les changements cach\u00e9s dans les paquets","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'entreprise Google a pr\u00e9sent\u00e9 le projet OSS Rebuild, destin\u00e9 \u00e0 identifier les modifications cach\u00e9es dans les paquets pr\u00eats \u00e0 l'emploi publi\u00e9s dans les d\u00e9p\u00f4ts. Le travail d'OSS Rebuild est bas\u00e9 sur le concept de constructions reproductibles et consiste \u00e0 v\u00e9rifier la conformit\u00e9 du paquet publi\u00e9 dans le d\u00e9p\u00f4t avec le paquet obtenu par reconstruction \u00e0 partir du code source de r\u00e9f\u00e9rence, correspondant \u00e0 la version d\u00e9clar\u00e9e du paquet. Le code de l'outil est \u00e9crit en langage Go et est distribu\u00e9 sous licence Apache 2.0. <\/p>\n
\u00c0 l'heure actuelle, OSS Rebuild prend en charge la v\u00e9rification des paquets provenant des d\u00e9p\u00f4ts NPM (JavaScript\/TypeScript), PyPI (Python) et Crates.io (Rust). \u00c0 l'avenir, le nombre de d\u00e9p\u00f4ts pris en charge devrait \u00eatre \u00e9largi. Dans la pratique, l'outil permet d'identifier des variantes d'attaques de type \u00ab cha\u00eene d'approvisionnement \u00bb, o\u00f9, apr\u00e8s le compromis des comptes de mainteneurs ou une diversion au sein du projet, une mise \u00e0 jour malveillante est publi\u00e9e dans le d\u00e9p\u00f4t. Dans ce cas, le code dans le d\u00e9p\u00f4t source du projet principal reste valide, tandis que les modifications malveillantes ne sont apport\u00e9es qu'aux paquets pr\u00eats. <\/p>\n
Le syst\u00e8me g\u00e9n\u00e8re automatiquement un sc\u00e9nario pour la construction reproductible du paquet s\u00e9lectionn\u00e9, en utilisant l'heuristique et en ajustant les param\u00e8tres pour garantir l'identit\u00e9 des artefacts livr\u00e9s dans le paquet. Si la reproduction automatique du paquet publi\u00e9 dans le d\u00e9p\u00f4t \u00e9choue, il est possible d'ajouter manuellement une sp\u00e9cification de construction. Une fois que le paquet a pu \u00eatre reproduit, l'outil OSS Rebuild conserve une description du processus de construction pour la v\u00e9rification des nouvelles versions du paquet. De plus, des informations pour la v\u00e9rification \u00e0 l'aide du cadre SLSA sont publi\u00e9es. <\/p>\n
Apr\u00e8s avoir effectu\u00e9 la v\u00e9rification d'une version sp\u00e9cifique du paquet, des donn\u00e9es d'attestation sont g\u00e9n\u00e9r\u00e9es, pouvant \u00eatre utilis\u00e9es par d'autres pour \u00e9valuer les paquets d\u00e9j\u00e0 v\u00e9rifi\u00e9s. La v\u00e9rification peut s'effectuer via l'ex\u00e9cution d'un utilitaire en ligne de commande ou en comparant un hash, sauvegard\u00e9 dans un stockage cloud s\u00e9par\u00e9. L'infrastructure pour la v\u00e9rification des paquets peut \u00eatre d\u00e9ploy\u00e9e sur votre propre le serveur<\/a>. Il est \u00e9galement possible d'acc\u00e9der aux informations sur les v\u00e9rifications effectu\u00e9es par Google pour plusieurs milliers de paquets. <\/p>\n