{"id":122969,"date":"2025-03-25T10:22:42","date_gmt":"2025-03-25T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz"},"modified":"2025-03-25T10:22:42","modified_gmt":"2025-03-25T08:22:42","slug":"v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/news\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","title":{"rendered":"V NixOS bol navrhnut\u00fd metod ochrany pred injectovan\u00edm backdoorov, ako v pr\u00edpade XZ","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na zahrnutie do repozit\u00e1ra bal\u00edkov nixpkgs, ktor\u00fd sa pou\u017e\u00edva v distrib\u00facii NixOS, bol navrhnut\u00fd re\u017eim opakovan\u00fdch zostaven\u00ed, ktor\u00fd umo\u017e\u0148uje odha\u013eova\u0165 pr\u00edpady vnesenia backdoorov do k\u00f3du, pripom\u00ednaj\u00face incident s projektom XZ. Predlo\u017een\u00e1 met\u00f3da ochrany umo\u017e\u0148uje odhali\u0165 \u00fapravy v arch\u00edvoch so zdrojov\u00fdm k\u00f3dom vydania, ktor\u00e9 ch\u00fdbaj\u00fa v repozit\u00e1roch k\u00f3du. <\/p>\n
Podstata met\u00f3dy spo\u010d\u00edva v tom, \u017ee zdrojov\u00fd k\u00f3d novej verzie aplik\u00e1cie sa zostavuje dvakr\u00e1t \u2014 prv\u00fdkr\u00e1t z k\u00f3du na\u010d\u00edtan\u00e9ho z git-repozit\u00e1ra a druh\u00fdkr\u00e1t z k\u00f3du distribuovan\u00e9ho v hotov\u00fdch arch\u00edvoch. Ak sa z\u00edskan\u00e9 bin\u00e1rne s\u00fabory z r\u00f4znych zostaven\u00ed l\u00ed\u0161ia, vznik\u00e1 d\u00f4vod na podozrenie o skryt\u00fdch modifik\u00e1ci\u00e1ch v repozit\u00e1ri alebo v arch\u00edvnom s\u00fabore s k\u00f3dom. <\/p>\n
Pripome\u0148me, \u017ee v pr\u00edpade projektu XZ repozit\u00e1r s k\u00f3dom neobsahoval podozriv\u00e9 zmeny. Backdoorov\u00e9 \u0161kodliv\u00e9 komponenty boli dod\u00e1van\u00e9 vo vn\u00fatri s\u00faborov, pou\u017e\u00edvan\u00fdch v testovacej sade na overenie spr\u00e1vnosti funkcie rozba\u013eova\u010da XZ. Backdoor sa aktivoval na \u00farovni syst\u00e9mu zostavovania, a samotn\u00fd zdrojov\u00fd k\u00f3d XZ sa zhodoval s k\u00f3dom z repozit\u00e1ra. Aktivuj\u00face backdoor m4 makr\u00e1 pre n\u00e1stroje Automake boli zahrnut\u00e9 iba v hotovom arch\u00edve s k\u00f3dom a ch\u00fdbali v repozit\u00e1ri. <\/p>\n
Backdoor v XZ bol implantovan\u00fd \u00fato\u010dn\u00edkom, ktor\u00fd z\u00edskal status udr\u017eiavate\u013ea projektu. Implant\u00e1cia backdooru bola okam\u017eite nezaznamenan\u00e1, preto\u017ee distrib\u00facie v\u00e4\u010d\u0161inou zostavuj\u00fa bal\u00edky s\u0165ahovan\u00edm k\u00f3du z hotov\u00fdch arch\u00edvov, ke\u010f\u017ee pri s\u0165ahovan\u00ed k\u00f3du na zostavenie je mo\u017en\u00e9 ob\u00eds\u0165 sa jednou kontrolnou sumou na overenie integrity arch\u00edvneho s\u00faboru a pou\u017e\u00edva\u0165 zrkadl\u00e1. Hlavn\u00e1 pozornos\u0165 pri kontrole k\u00f3du je s\u00fastreden\u00e1 na anal\u00fdzu obsahu repozit\u00e1ra, tak\u017ee nejak\u00e9 nejasn\u00e9 rozdiely v arch\u00edvoch nemusia by\u0165 okam\u017eite odhalen\u00e9. <\/p>\n
Na zjednodu\u0161enie kontroly zhody s\u00faborov-arch\u00edvov a rezov repozit\u00e1ra, ktor\u00e9 zodpovedaj\u00fa vydaniam, niektor\u00e9 otvoren\u00e9 projekty, ako napr\u00edklad PostgreSQL, zaviedli do praxe syst\u00e9m opakovanej gener\u00e1cie arch\u00edvov. V tomto pr\u00edpade sa poskytuje n\u00e1stroj, ktor\u00fd umo\u017e\u0148uje samostatne zostavi\u0165 zo zdroja svoj arch\u00edv, ktor\u00fd plne zodpoved\u00e1 hotov\u00e9mu arch\u00edvu dostupn\u00e9mu na stiahnutie. Ak sa nez\u00e1visle vytvoren\u00fd arch\u00edv a arch\u00edv poskytovan\u00fd hlavn\u00fdm projektom bud\u00fa l\u00ed\u0161i\u0165 \u2014 doch\u00e1dza k kompromit\u00e1cii repozit\u00e1ra alebo referen\u010dn\u00e9ho arch\u00edvu. <\/p>\n
Probl\u00e9m spo\u010d\u00edva v tom, \u017ee tak\u00e1to met\u00f3da sa uplat\u0148uje len v niektor\u00fdch pr\u00edpadoch, zatia\u013e \u010do mnoh\u00e9 projekty na\u010falej zahr\u0148uj\u00fa do arch\u00edvov \u010fal\u0161ie artefakty, ktor\u00e9 ch\u00fdbaj\u00fa v hlavnom repozit\u00e1ri, ako s\u00fa man-strany, dokument\u00e1cia, pr\u00edklady, skripty na vytv\u00e1ranie bal\u00edkov pre distrib\u00facie a \u010fal\u0161ie s\u00faborov\u00e9 zostavy. V z\u00e1sade sa to deje z historick\u00fdch d\u00f4vodov a \u0161pecif\u00edk procesu formovania vydan\u00ed. Jednoduch\u00e1 kontrola zhodnosti obsahu repozit\u00e1ra a arch\u00edvu v tomto pr\u00edpade nie je vhodn\u00e1. <\/p>\n
Ako v\u00fdchodisko sa navrhuje uklada\u0165 bin\u00e1rne s\u00fabory vydania, ako z repozit\u00e1ra (napr\u00edklad je mo\u017en\u00e9 pou\u017ei\u0165 automaticky generovan\u00fd arch\u00edv v GitHub pre vydan\u00fa zna\u010dku), tak aj z arch\u00edvu pripraven\u00e9ho sprievodcom, pri\u010dom sa n\u00e1sledne porovn\u00e1va v\u00fdsledok. Ako experiment je moment\u00e1lne zapracovanie takejto kontroly navrhnut\u00e9 len pre bal\u00edk \u201exz\u201c. Ak sa experiment uk\u00e1\u017ee ako \u00faspe\u0161n\u00fd, pl\u00e1nuje sa pou\u017ei\u0165 aj v \u010fal\u0161\u00edch bal\u00edkoch v nixpkgs. \n Zdroj: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"