{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google ha presentato il progetto OSS Rebuild per rilevare le modifiche nascoste nei pacchetti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google ha presentato il progetto OSS Rebuild, concepito per rilevare modifiche nascoste nei pacchetti pronti pubblicati nei repository. OSS Rebuild si basa sul concetto di build riproducibili e si concentra sulla verifica della corrispondenza tra il pacchetto pubblicato nel repository e il pacchetto ottenuto tramite ricompilazione dal codice sorgente di riferimento che corrisponde alla versione dichiarata del pacchetto. Il codice dell'utensile \u00e8 scritto in Go e distribuito sotto licenza Apache 2.0. <\/p>\n
Attualmente, OSS Rebuild supporta la verifica dei pacchetti dai repository NPM (JavaScript\/TypeScript), PyPI (Python) e Crates.io (Rust). In futuro, si prevede di ampliare il numero di repository supportati. In pratica, lo strumento consente di identificare le varianti degli attacchi di tipo 'supply chain', nei quali, dopo la compromissione degli account di sviluppo o un sabotaggio all'interno del progetto, viene pubblicato un aggiornamento dannoso nel repository. In questo modo, il codice nel repository sorgente del progetto principale rimane corretto, mentre le modifiche dannose vengono apportate solo ai pacchetti finali. <\/p>\n
Il sistema genera automaticamente uno script per la build riproducibile del pacchetto selezionato, utilizzando euristiche e configurando parametri che consentono di ottenere l'identit\u00e0 degli artefatti forniti nel pacchetto. Se non \u00e8 possibile riprodurre automaticamente il pacchetto presente nel repository, \u00e8 possibile aggiungere manualmente la specifica di build. Dopo aver riprodotto il pacchetto, OSS Rebuild salva la descrizione del processo di build per la verifica delle nuove versioni del pacchetto. Viene inoltre pubblicata un'informazione per la verifica utilizzando il framework SLSA. <\/p>\n
Dopo aver effettuato la verifica di una specifica versione del pacchetto, vengono generati dati di attestazione che possono essere utilizzati da altri per valutare pacchetti gi\u00e0 verificati. La verifica pu\u00f2 essere effettuata tramite l'esecuzione di un'utility da linea di comando o la verifica di un hash salvato in un archivio cloud separato. L'infrastruttura per la verifica dei pacchetti pu\u00f2 essere implementata su un proprio server<\/a>. \u00c8 disponibile anche informazioni sulle verifiche eseguite da Google per migliaia di pacchetti. <\/p>\n