{"id":122969,"date":"2025-03-25T10:22:42","date_gmt":"2025-03-25T08:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz"},"modified":"2025-03-25T10:22:42","modified_gmt":"2025-03-25T08:22:42","slug":"v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/v-nixos-predlozhen-metod-zashhity-ot-podstanovki-bekdorov-takih-kak-v-xz","title":{"rendered":"I NixOS f\u00f6resl\u00e5s en metod f\u00f6r att skydda mot substitutionsbakd\u00f6rrar, s\u00e5som i XZ.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
F\u00f6r att inkludera paketet nixpkgs i NixOS-distributionen har en metod f\u00f6r reproducerbara byggen f\u00f6reslagits, vilket g\u00f6r det m\u00f6jligt att uppt\u00e4cka fall av bakd\u00f6rrar i koden, liknande incidenten med projektet XZ. Den f\u00f6reslagna skyddsmekanismen g\u00f6r det m\u00f6jligt att uppt\u00e4cka modifieringar i arkiv med k\u00e4llkoden f\u00f6r releasen som saknas i kodarkiven. <\/p>\n
Metoden g\u00e5r ut p\u00e5 att den nya versionens k\u00e4llkod byggs tv\u00e5 g\u00e5nger \u2013 f\u00f6rsta g\u00e5ngen fr\u00e5n koden som laddas ner fr\u00e5n git-repositoriet, och andra g\u00e5ngen fr\u00e5n koden som distribueras i f\u00e4rdiga arkiv. Om de resulterande bin\u00e4rfilerna skiljer sig \u00e5t v\u00e4cker det misstankar om att det finns dolda modifieringar i repositoriet eller i arkivfilen med koden. <\/p>\n
Vi p\u00e5minner om att i fallet med projektet XZ inneh\u00f6ll kodarkivet inga misst\u00e4nkta f\u00f6r\u00e4ndringar. De bakd\u00f6rrsframkallande skadliga komponenterna levererades i filer som anv\u00e4ndes i testsviten f\u00f6r att kontrollera korrektheten av XZ:s dekompressor. Bakd\u00f6rren aktiverades p\u00e5 niv\u00e5n f\u00f6r byggsystemet, och sj\u00e4lva koden f\u00f6r XZ \u00f6verensst\u00e4mde med koden i repositoriet. Bakd\u00f6rren aktiverande m4-makron f\u00f6r Automake-verktygen var endast inkluderade i det f\u00e4rdiga arkivet med koden och saknades i repositoriet. <\/p>\n
Bakd\u00f6rren i XZ inf\u00f6rdes av en angripare som lyckades f\u00e5 status som underh\u00e5llare i projektet. Inf\u00f6randet av bakd\u00f6rren gick omedelbart obem\u00e4rkt f\u00f6rbi eftersom distributioner huvudsakligen bygger paket genom att ladda ner kod fr\u00e5n f\u00e4rdiga arkiv, d\u00e5 det vid kodlagret kan r\u00e4cka med en kontrollsumma f\u00f6r att verifiera filens integritet med arkivet och anv\u00e4nda speglar. Huvudfokuset vid granskningen av koden ligger p\u00e5 analysen av inneh\u00e5llet i repositoriet, d\u00e4rf\u00f6r kan inte alltid oaktade skillnader i arkiven omedelbart uppt\u00e4ckas. <\/p>\n
F\u00f6r att f\u00f6renkla kontrollen av \u00f6verensst\u00e4mmelse mellan arkivfiler och snitt av repositoriet, relaterade till versionerna, har vissa \u00f6ppna projekt, s\u00e5som PostgreSQL, inf\u00f6rt en metod f\u00f6r reproducerbar arkivgenerering. I detta fall tillhandah\u00e5lls verktyg som g\u00f6r det m\u00f6jligt att sj\u00e4lv bygga sitt arkiv fr\u00e5n koden, vilket helt \u00f6verensst\u00e4mmer med det f\u00e4rdiga arkivet som finns tillg\u00e4ngligt f\u00f6r nedladdning. Om det oberoende skapade arkivet och arkivet som tillhandah\u00e5lls av huvudprojektet skiljer sig \u00e5t \u2013 inneb\u00e4r det en kompromiss av repositoriet eller det referensarkivet. <\/p>\n
Problemet \u00e4r att en s\u00e5dan metod endast till\u00e4mpas i vissa fall, medan m\u00e5nga projekt forts\u00e4tter att inkludera ytterligare artefakter i arkiv som saknas i huvudrepositoryt, s\u00e5som man-sidor, dokumentation, exempel, skript f\u00f6r att skapa paket f\u00f6r distributioner och ytterligare byggfiler. Detta beror fr\u00e4mst p\u00e5 historiska sk\u00e4l och s\u00e4rdrag i release-processerna. En enkel j\u00e4mf\u00f6relse av inneh\u00e5llet i repositoryt och arkivet \u00e4r i detta fall inte tillr\u00e4cklig. <\/p>\n
Som en l\u00f6sning f\u00f6resl\u00e5s att bygga bin\u00e4rfiler av versionen b\u00e5de fr\u00e5n repositoriet (till exempel kan det automatiskt genererade arkivet i GitHub anv\u00e4ndas f\u00f6r den versionsspecifika taggen) och fr\u00e5n arkivet som har f\u00f6rberetts av underh\u00e5llaren, och j\u00e4mf\u00f6ra resultatet d\u00e4refter. Som ett experiment har en s\u00e5dan kontroll hittills f\u00f6reslagits endast f\u00f6r paketet \u201exz\u201c. Om experimentet visar sig framg\u00e5ngsrikt planerar man att anv\u00e4nda kontrollerna \u00e4ven i andra paket i nixpkgs. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"