{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google zaprezentowa\u0142 projekt OSS Rebuild do identyfikacji ukrytych zmian w pakietach.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Google zaprezentowa\u0142a projekt OSS Rebuild, kt\u00f3ry ma na celu identyfikacj\u0119 ukrytych zmian w gotowych pakietach publikowanych w repozytoriach. Praca OSS Rebuild opiera si\u0119 na koncepcji reprodukowalnych kompilacji i polega na sprawdzaniu zgodno\u015bci pakietu umieszczonego w repozytorium z pakietem uzyskanym w wyniku rekonstrukcji z odniesionego kodu \u017ar\u00f3d\u0142owego, odpowiadaj\u0105cego deklarowanej wersji pakietu. Kod narz\u0119dzia napisano w j\u0119zyku Go i jest rozpowszechniany na licencji Apache 2.0. <\/p>\n

Obecnie w OSS Rebuild wprowadzono obs\u0142ug\u0119 weryfikacji pakiet\u00f3w z repozytori\u00f3w NPM (JavaScript\/TypeScript), PyPI (Python) oraz Crates.io (Rust). W przysz\u0142o\u015bci planuje si\u0119 rozszerzenie liczby wspieranych repozytori\u00f3w. W praktyce narz\u0119dzie to umo\u017cliwia identyfikacj\u0119 atak\u00f3w typu 'supply chain', podczas kt\u00f3rych po skompromitowaniu kont deweloper\u00f3w lub dalszych dzia\u0142a\u0144 wewn\u0105trz projektu do repozytori\u00f3w publikowane s\u0105 z\u0142o\u015bliwe aktualizacje. W tym przypadku kod w pierwotnym repozytorium g\u0142\u00f3wnego projektu pozostaje poprawny, a z\u0142o\u015bliwe zmiany s\u0105 wprowadzane tylko do gotowych pakiet\u00f3w. <\/p>\n

System stara si\u0119 automatycznie tworzy\u0107 scenariusz dla reprodukowalnej kompilacji wybranego pakietu, wykorzystuj\u0105c heurystyk\u0119 i dobieraj\u0105c parametry, kt\u00f3re pozwalaj\u0105 osi\u0105gn\u0105\u0107 to\u017csamo\u015b\u0107 artefakt\u00f3w dostarczanych w pakiecie. Je\u015bli nie udaje si\u0119 automatycznie odtworzy\u0107 umieszczonego w repozytorium pakietu, istnieje mo\u017cliwo\u015b\u0107 r\u0119cznego dodania specyfikacji kompilacji. Po udanym odtworzeniu pakietu narz\u0119dzie OSS Rebuild zachowuje opis procesu kompilacji do p\u00f3\u017aniejszej weryfikacji nowych wersji pakietu. Dodatkowo publikowane s\u0105 informacje do weryfikacji z wykorzystaniem frameworka SLSA. <\/p>\n

Po przeprowadzeniu weryfikacji konkretnej wersji pakietu generowane s\u0105 dane attestation, kt\u00f3re mog\u0105 by\u0107 wykorzystywane przez innych do oceny ju\u017c zweryfikowanych pakiet\u00f3w. Weryfikacj\u0119 mo\u017cna przeprowadzi\u0107 poprzez uruchomienie narz\u0119dzia wiersza polece\u0144 lub por\u00f3wnanie hasha zapisanego w oddzielnym magazynie chmurowym. Infrastruktur\u0119 do weryfikacji pakiet\u00f3w mo\u017cna uruchomi\u0107 na w\u0142asnym serwerze<\/a>. Mo\u017cna tak\u017ce skorzysta\u0107 z informacji o weryfikacjach przeprowadzonych przez Google dla kilku tysi\u0119cy pakiet\u00f3w. <\/p>\n

Jako przyk\u0142ady r\u00f3\u017cnych metod atak\u00f3w, przed kt\u00f3rymi OSS Rebuild m\u00f3g\u0142by chroni\u0107, podano dodanie backdoora do XZ, wstrzykni\u0119cie z\u0142o\u015bliwego kodu do oficjalnego klienta JavaScript dla kryptowaluty Solana oraz podstawienie zmian przez handler Actions changed-files: <\/p>\n