{"id":139662,"date":"2025-07-22T11:11:56","date_gmt":"2025-07-22T09:11:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah"},"modified":"2025-07-22T11:11:56","modified_gmt":"2025-07-22T09:11:56","slug":"google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/google-predstavil-proekt-oss-rebuild-dlya-vyyavleniya-skrytyh-izmenenij-v-paketah","title":{"rendered":"Google har presenterat projektet OSS Rebuild f\u00f6r att identifiera dolda \u00e4ndringar i paket.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google har introducerat projektet OSS Rebuild, som syftar till att identifiera dolda \u00e4ndringar i f\u00e4rdiga paket som publiceras i repon. OSS Rebuilds arbete \u00e4r baserat p\u00e5 konceptet reproducibla byggen och handlar om att kontrollera att paketet som finns i repon st\u00e4mmer \u00f6verens med paketet som erh\u00e5llits genom ombyggnad fr\u00e5n den angivna k\u00e4llkoden som motsvarar den angivna paketversionen. Kodverktyget \u00e4r skrivet i Go och distribueras under Apache 2.0-licensen. <\/p>\n
F\u00f6r n\u00e4rvarande har OSS Rebuild st\u00f6d f\u00f6r verifiering av paket fr\u00e5n NPM (JavaScript\/TypeScript), PyPI (Python) och Crates.io (Rust) repositorier. I framtiden planerar man att ut\u00f6ka antalet st\u00f6dda repositorier. I praktiken g\u00f6r verktyget det m\u00f6jligt att uppt\u00e4cka angrepp av typen \"supply chain\", d\u00e4r skadlig kod publiceras som en uppdatering i repositoriet efter att konton blivit komprometterade eller en intern st\u00f6rning i projektet har intr\u00e4ffat. Koden i det ursprungliga repositoriet f\u00f6r huvudprojektet f\u00f6rblir korrekt, medan de skadliga \u00e4ndringarna endast g\u00f6rs i de f\u00e4rdiga paketen. <\/p>\n
Systemet skapar automatiskt ett skript f\u00f6r reproducerbart bygge av det valda paketet, med hj\u00e4lp av heuristik och genom att v\u00e4lja parametrar som m\u00f6jligg\u00f6r identiska artefakter i paketet. Om det inte g\u00e5r att reproducera paketet som finns i repon automatiskt, kan man manuellt l\u00e4gga till byggspecifikationen. N\u00e4r paketet har kunnat reproduceras, sparar OSS Rebuilds verktyg en beskrivning av byggprocessen f\u00f6r framtida verifiering av nya versioner av paketet. Dessutom publiceras information f\u00f6r verifiering med hj\u00e4lp av SLSA-ramverket. <\/p>\n
Efter att verifieringen av en specifik version av paketet genomf\u00f6rts, genereras certifieringsdata som kan anv\u00e4ndas av andra f\u00f6r att bed\u00f6ma redan verifierade paket. Verifieringen kan genomf\u00f6ras genom att k\u00f6ra kommandoradsverktyget eller genom att j\u00e4mf\u00f6ra hash-v\u00e4rdet som sparats i en separat molnlagring. Infrastruktur f\u00f6r paketverifiering kan s\u00e4ttas upp p\u00e5 egen servern<\/a>. Dessutom kan man f\u00e5 information om verifieringar som utf\u00f6rs av Google f\u00f6r flera tusen paket. <\/p>\n