Az NixOS disztrib\u00faci\u00f3j\u00e1ban alkalmazott nixpkgs csomagokra vonatkoz\u00f3an javasolt\u00e1k az ism\u00e9telhet\u0151 \u00e9p\u00edt\u00e9sek \u00fczemm\u00f3dot, amely lehet\u0151v\u00e9 teszi a h\u00e1ts\u00f3 ajt\u00f3k be\u00e9p\u00edt\u00e9s\u00e9nek \u00e9szlel\u00e9s\u00e9t a k\u00f3dban, hasonl\u00f3an az XZ projekt incidens\u00e9hez. A bemutatott v\u00e9delmi m\u00f3dszer lehet\u0151v\u00e9 teszi a kiadott forr\u00e1sk\u00f3d-arch\u00edvumokban tal\u00e1lhat\u00f3, a k\u00f3dot tartalmaz\u00f3 t\u00e1rol\u00f3kban nem l\u00e9tez\u0151 m\u00f3dos\u00edt\u00e1sok felfedez\u00e9s\u00e9t. <\/p>\n
A m\u00f3dszer l\u00e9nyege, hogy az \u00faj verzi\u00f3 forr\u00e1sk\u00f3dj\u00e1t k\u00e9tszer \u00e1ll\u00edtj\u00e1k \u00f6ssze \u2014 el\u0151sz\u00f6r a git-repozit\u00f3riumb\u00f3l let\u00f6lt\u00f6tt k\u00f3db\u00f3l, m\u00e1sodszor pedig a k\u00e9sz arch\u00edvumokban terjesztett k\u00f3db\u00f3l. Ha az elk\u00e9sz\u00fclt bin\u00e1ris f\u00e1jlok elt\u00e9rnek egym\u00e1st\u00f3l, az okot adhat a rejtett m\u00f3dos\u00edt\u00e1sok gyan\u00faj\u00e1ra a repozit\u00f3riumban vagy a k\u00f3dot tartalmaz\u00f3 arch\u00edv f\u00e1jlban. <\/p>\n
Eml\u00e9keztet\u00fcnk arra, hogy az XZ projekt eset\u00e9ben a k\u00f3d t\u00e1rol\u00f3ja nem tartalmazott gyan\u00fas m\u00f3dos\u00edt\u00e1sokat. A h\u00e1ts\u00f3 ajt\u00f3t k\u00e9pez\u0151 rosszindulat\u00fa \u00f6sszetev\u0151k azokban a f\u00e1jlokban voltak megtal\u00e1lhat\u00f3k, amelyeket az XZ kib\u0151v\u00edtett m\u0171k\u00f6d\u00e9s\u00e9nek tesztel\u00e9s\u00e9re haszn\u00e1ltak. A h\u00e1ts\u00f3 ajt\u00f3 a gy\u0171jt\u00e9si szinten aktiv\u00e1l\u00f3dott, mik\u00f6zben az XZ forr\u00e1sk\u00f3dja megegyezett a t\u00e1rol\u00f3b\u00f3l sz\u00e1rmaz\u00f3 k\u00f3ddal. A h\u00e1ts\u00f3 ajt\u00f3t aktiv\u00e1l\u00f3 m4 makr\u00f3k az Automake eszk\u00f6zk\u00e9szlethez csak a v\u00e9gleges k\u00f3darch\u00edvumban voltak benne, a t\u00e1rol\u00f3ban viszont nem. <\/p>\n
Az XZ h\u00e1ts\u00f3 ajtaj\u00e1t egy t\u00e1mad\u00f3 helyezte el, aki megszerezte a projektegyes\u00edt\u0151 st\u00e1tuszt. A h\u00e1ts\u00f3 ajt\u00f3 beilleszt\u00e9se azonnal nem lett \u00e9szlelve, mivel a disztrib\u00faci\u00f3k \u00e1ltal\u00e1ban a k\u00f3dot k\u00e9sz arch\u00edvumokb\u00f3l t\u00f6ltik le, mivel a k\u00f3d let\u00f6lt\u00e9s\u00e9hez elegend\u0151 egy ellen\u0151rz\u0151 \u00f6sszegez\u00e9s a f\u00e1jl integrit\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9hez, \u00e9s t\u00fckr\u00f6z\u0151kat haszn\u00e1lhatnak. A k\u00f3d ellen\u0151rz\u00e9s\u00e9re \u00f6sszpontos\u00edt\u00f3 figyelem a t\u00e1rol\u00f3 tartalm\u00e1nak elemz\u00e9s\u00e9re \u00f6sszpontos\u00edt, \u00edgy az arch\u00edvumokban l\u00e9v\u0151 nem nyilv\u00e1nval\u00f3 elt\u00e9r\u00e9seket nem mindig lehet azonnal \u00e9szlelni. <\/p>\n
A f\u00e1jlarch\u00edvumok \u00e9s a kiad\u00e1sokhoz tartoz\u00f3 repozit\u00f3riumi szeletek \u00f6sszehasonl\u00edt\u00e1s\u00e1nak megk\u00f6nny\u00edt\u00e9se \u00e9rdek\u00e9ben n\u00e9h\u00e1ny ny\u00edlt projekt, mint p\u00e9ld\u00e1ul a PostgreSQL, bevezette a megism\u00e9telhet\u0151 arch\u00edvum-gener\u00e1l\u00e1si rendszert. Ebben az esetben olyan eszk\u00f6zk\u00e9szlet \u00e1ll rendelkez\u00e9sre, amely lehet\u0151v\u00e9 teszi a felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra, hogy \u00f6n\u00e1ll\u00f3an \u00e1ll\u00edtson \u00f6ssze egy arch\u00edvumot a k\u00f3db\u00f3l, amely teljes m\u00e9rt\u00e9kben megfelel a let\u00f6lt\u00e9sre el\u00e9rhet\u0151 k\u00e9sz arch\u00edvumnak. Ha az \u00f6n\u00e1ll\u00f3an l\u00e9trehozott arch\u00edvum \u00e9s az alapprojekt \u00e1ltal biztos\u00edtott arch\u00edvum elt\u00e9r, az a repozit\u00f3rium vagy a referencia arch\u00edvum kompromitt\u00e1l\u00f3d\u00e1s\u00e1t jelenti. <\/p>\n
A probl\u00e9ma az, hogy az ilyen m\u00f3dszer csak bizonyos esetekben alkalmazott, m\u00edg sok projekt tov\u00e1bbra is tov\u00e1bbi artefaktumokat, p\u00e9ld\u00e1ul man-oldalakat, dokument\u00e1ci\u00f3t, p\u00e9ld\u00e1kat, csomagol\u00e1si forgat\u00f3k\u00f6nyveket \u00e9s extra build f\u00e1jlokat tartalmaz a f\u0151 t\u00e1rol\u00f3ban val\u00f3 hi\u00e1nyz\u00e1ssal. Ezek jellemz\u0151en t\u00f6rt\u00e9neti okokb\u00f3l \u00e9s a kiad\u00e1si folyamatok saj\u00e1toss\u00e1gai miatt t\u00f6rt\u00e9nnek. Az arch\u00edvum \u00e9s a t\u00e1rol\u00f3 tartalm\u00e1nak egyszer\u0171 ellen\u0151rz\u00e9se ebben az esetben nem megfelel\u0151. <\/p>\n