{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"O Google apresentou o projeto OSS Rebuild para identificar mudan\u00e7as ocultas em pacotes.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Google apresentou o projeto OSS Rebuild, destinado a identificar altera\u00e7\u00f5es ocultas em pacotes prontos, publicados em reposit\u00f3rios. O funcionamento do OSS Rebuild \u00e9 baseado no conceito de builds reproduz\u00edveis e envolve a verifica\u00e7\u00e3o da conformidade do pacote hospedado no reposit\u00f3rio com o pacote obtido por meio da recompila\u00e7\u00e3o a partir do c\u00f3digo-fonte de refer\u00eancia, correspondente \u00e0 vers\u00e3o declarada do pacote. O c\u00f3digo da ferramenta \u00e9 escrito na linguagem Go e \u00e9 distribu\u00eddo sob a licen\u00e7a Apache 2.0. <\/p>\n
Atualmente, o OSS Rebuild implementou suporte para a verifica\u00e7\u00e3o de pacotes de reposit\u00f3rios NPM (JavaScript\/TypeScript), PyPI (Python) e Crates.io (Rust). No futuro, pretende-se expandir o n\u00famero de reposit\u00f3rios suportados. Na pr\u00e1tica, a ferramenta permite identificar variantes de ataque da classe 'supply chain', nas quais, ap\u00f3s a comprometimento de contas de mantenedores ou uma sabotagem dentro do projeto, uma atualiza\u00e7\u00e3o maliciosa \u00e9 publicada no reposit\u00f3rio. Enquanto isso, o c\u00f3digo no reposit\u00f3rio original do projeto principal permanece correto, e as mudan\u00e7as maliciosas s\u00e3o feitas apenas nos pacotes prontos. <\/p>\n
O sistema, sempre que poss\u00edvel, gera automaticamente um roteiro para a compila\u00e7\u00e3o reproduz\u00edvel do pacote escolhido, utilizando heur\u00edsticas e ajustando par\u00e2metros que permitem alcan\u00e7ar a identidade dos artefatos fornecidos no pacote. Se n\u00e3o for poss\u00edvel reproduzir automaticamente o pacote hospedado no reposit\u00f3rio, \u00e9 poss\u00edvel adicionar manualmente a especifica\u00e7\u00e3o de build. Ap\u00f3s conseguir reproduzir o pacote, a ferramenta OSS Rebuild salva a descri\u00e7\u00e3o do processo de constru\u00e7\u00e3o para posterior verifica\u00e7\u00e3o de novas vers\u00f5es do pacote. Informa\u00e7\u00f5es tamb\u00e9m s\u00e3o publicadas para verifica\u00e7\u00e3o utilizando o framework SLSA. <\/p>\n
Ap\u00f3s a verifica\u00e7\u00e3o de uma vers\u00e3o espec\u00edfica do pacote, s\u00e3o gerados dados de certifica\u00e7\u00e3o que podem ser utilizados por outros para avaliar pacotes j\u00e1 verificados. A verifica\u00e7\u00e3o pode ser realizada atrav\u00e9s da execu\u00e7\u00e3o de uma ferramenta de linha de comando ou da compara\u00e7\u00e3o de um hash salvo em um armazenamento em nuvem separado. A infraestrutura para a verifica\u00e7\u00e3o de pacotes pode ser implantada em um pr\u00f3prio servidor<\/a>. Tamb\u00e9m \u00e9 poss\u00edvel acessar informa\u00e7\u00f5es sobre verifica\u00e7\u00f5es realizadas pelo Google para milhares de pacotes. <\/p>\n