{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"A Google bemutatta az OSS Rebuild projektet a csomagokban v\u00e9gzett rejtett v\u00e1ltoztat\u00e1sok azonos\u00edt\u00e1s\u00e1ra.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Google bemutatta az OSS Rebuild projektet, amely a k\u00f6zz\u00e9tett csomagokban rejl\u0151 rejtett v\u00e1ltoz\u00e1sok azonos\u00edt\u00e1s\u00e1ra szolg\u00e1l, a t\u00e1rol\u00f3kban. Az OSS Rebuild m\u0171k\u00f6d\u00e9se a reproduk\u00e1lhat\u00f3 build koncepci\u00f3j\u00e1n alapul, \u00e9s arra \u00f6sszpontos\u00edt, hogy ellen\u0151rizze a t\u00e1rol\u00f3kban tal\u00e1lhat\u00f3 csomag megfelel\u0151s\u00e9g\u00e9t a referencia forr\u00e1sk\u00f3d alapj\u00e1n \u00fajra\u00e9p\u00edtett csomaggal, amely a csomag nyilv\u00e1nosan meghirdetett verzi\u00f3j\u00e1nak felel meg. Az eszk\u00f6zk\u00e9szlet k\u00f3dja Go nyelven k\u00e9sz\u00fclt, \u00e9s Apache 2.0 licenc alatt \u00e9rhet\u0151 el. <\/p>\n
Jelenleg az OSS Rebuild t\u00e1mogatja a csomagok hiteles\u00edt\u00e9s\u00e9t az NPM (JavaScript\/TypeScript), PyPI (Python) \u00e9s Crates.io (Rust) t\u00e1rol\u00f3kb\u00f3l. A j\u00f6v\u0151ben tervezik a t\u00e1mogatott t\u00e1rol\u00f3k sz\u00e1m\u00e1nak b\u0151v\u00edt\u00e9s\u00e9t. A gyakorlatban az eszk\u00f6z lehet\u0151v\u00e9 teszi a «sz\u00e1ll\u00edt\u00f3i l\u00e1nc» t\u00edpus\u00fa t\u00e1mad\u00e1sok azonos\u00edt\u00e1s\u00e1t, amikor a kapcsolattart\u00f3k fi\u00f3kjainak kompromitt\u00e1l\u00e1sa vagy a projekt bels\u0151 diverzi\u00f3ja ut\u00e1n a t\u00e1rol\u00f3ban rosszindulat\u00fa friss\u00edt\u00e9seket adnak ki. Ek\u00f6zben a f\u0151 projekt forr\u00e1sk\u00f3dja \u00e9rv\u00e9nyes marad, \u00e9s a rosszindulat\u00fa m\u00f3dos\u00edt\u00e1sokat csak a k\u00e9sz csomagokba integr\u00e1lj\u00e1k. <\/p>\n
A rendszer lehet\u0151s\u00e9geihez m\u00e9rten automatikusan l\u00e9trehoz egy forgat\u00f3k\u00f6nyvet a kiv\u00e1lasztott csomag reproduk\u00e1lhat\u00f3 buildj\u00e9hez, heuristik\u00e1kat haszn\u00e1lva, \u00e9s param\u00e9tereket \u00f6ssze\u00e1ll\u00edtva, amelyek lehet\u0151v\u00e9 teszik az aritfaktumok azonoss\u00e1g\u00e1nak el\u00e9r\u00e9s\u00e9t, amelyeket a csomagban biztos\u00edtanak. Ha automatikusan nem siker\u00fcl a t\u00e1rol\u00f3ban tal\u00e1lhat\u00f3 csomagot reproduk\u00e1lni, lehet\u0151s\u00e9g van a build specifik\u00e1ci\u00f3 k\u00e9zi hozz\u00e1ad\u00e1s\u00e1ra. Miut\u00e1n a csomag reproduk\u00e1l\u00e1s\u00e1t siker\u00fclt v\u00e9grehajtani, az OSS Rebuild eszk\u00f6zk\u00e9szlet menti a build folyamat\u00e1nak le\u00edr\u00e1s\u00e1t az \u00faj csomagverzi\u00f3k k\u00e9s\u0151bbi ellen\u0151rz\u00e9s\u00e9hez. Emellett kiad\u00e1sra ker\u00fcl egy inform\u00e1ci\u00f3 az SLSA keretrendszert felhaszn\u00e1l\u00f3 ellen\u0151rz\u00e9shez. <\/p>\n
A konkr\u00e9t csomagverzi\u00f3 ellen\u0151rz\u00e9se ut\u00e1n igazol\u00f3 adatokat gener\u00e1lnak, amelyeket m\u00e1sok felhaszn\u00e1lhatnak m\u00e1r ellen\u0151rz\u00f6tt csomagok \u00e9rt\u00e9kel\u00e9s\u00e9re. Az ellen\u0151rz\u00e9s elv\u00e9gezhet\u0151 parancssori eszk\u00f6z futtat\u00e1s\u00e1val vagy egy k\u00fcl\u00f6n felh\u0151t\u00e1rol\u00f3ban t\u00e1rolt hash \u00f6sszehasonl\u00edt\u00e1s\u00e1val. A csomagok ellen\u0151rz\u00e9s\u00e9re szolg\u00e1l\u00f3 infrastrukt\u00fara fel\u00e1ll\u00edthat\u00f3 a saj\u00e1t szerveren<\/a>. Haszn\u00e1lhatjuk a Google \u00e1ltal t\u00f6bb ezer csomagon v\u00e9gzett ellen\u0151rz\u00e9sek inform\u00e1ci\u00f3it is. <\/p>\n