{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google ha presentato il progetto OSS Rebuild per individuare modifiche nascoste nei pacchetti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google ha presentato il progetto OSS Rebuild, concepito per identificare modifiche nascoste nei pacchetti finali pubblicati nei repository. Il funzionamento di OSS Rebuild si basa sul concetto di build riproducibili e consiste nel verificare la corrispondenza tra il pacchetto pubblicato nel repository e quello ottenuto tramite la ricostruzione dal codice sorgente di riferimento, corrispondente alla versione dichiarata del pacchetto. Il codice dello strumento \u00e8 scritto in linguaggio Go e distribuito con licenza Apache 2.0. <\/p>\n
Attualmente, OSS Rebuild supporta la verifica dei pacchetti provenienti dai repository NPM (JavaScript\/TypeScript), PyPI (Python) e Crates.io (Rust). In futuro, si prevede un'espansione del numero di repository supportati. In pratica, l'toolset consente di identificare le potenziali minacce di tipo 'supply chain', in cui, dopo la compromissione degli account degli sviluppatori o un sabotaggio all'interno del progetto, viene pubblicato un aggiornamento malevolo nel repository. In questo modo, il codice nel repository sorgente del progetto principale rimane intatto, mentre le modifiche dannose vengono apportate solo ai pacchetti pronti. <\/p>\n
Il sistema, se possibile, genera automaticamente uno script per la build riproducibile del pacchetto selezionato, utilizzando euristiche e selezionando parametri che consentono di ottenere l'identit\u00e0 degli artefatti forniti nel pacchetto. Se non riesce a riprodurre automaticamente il pacchetto pubblicato nel repository, \u00e8 possibile aggiungere manualmente la specifica di build. Una volta che il pacchetto \u00e8 stato riprodotto con successo, lo strumento OSS Rebuild salva la descrizione del processo di build per la successiva verifica di nuove versioni del pacchetto. Inoltre, vengono pubblicate informazioni per la verifica utilizzando il framework SLSA. <\/p>\n
Dopo aver condotto la verifica di una specifica versione del pacchetto, vengono generati dati di attestazione, che possono essere utilizzati da altri per valutare i pacchetti gi\u00e0 verificati. La verifica pu\u00f2 essere effettuata avviando l'utility da riga di comando o confrontando l'hash salvato in un archivio cloud separato. L'infrastruttura per la verifica dei pacchetti pu\u00f2 essere distribuita localmente. server<\/a>\u00c8 anche possibile utilizzare le informazioni sulle verifiche effettuate da Google per migliaia di pacchetti. <\/p>\n