7 月 22 日消息,為提升開源項目的安全性,谷歌今日推出了 OSS Rebuild,開發者可利用該工具通過重現構建過程來驗證開源軟件包的完整性,從而避免開源供應鏈“下毒”情況。
谷歌介紹稱,開源軟件已成為數字世界的基礎。從關鍵基礎設施到日常應用,開源軟件組件占現代應用的 77%。據估計,其價值超過 12 萬億美元(IT酷哥注:現匯率約合 86.21 萬億元人民幣),開源軟件從未如此成為全球經濟的重要組成部分。
然而,這種普遍性也使開源成為攻擊者的目標,比如攻擊者針對某一廣泛使用的開源組件“投毒”,從而攻擊大量使用該開源組件的軟件。
谷歌表示,OSS Rebuild 無需維護者投入精力即可生成 SLSA 軟件供應鏈 Build Level 3 要求,從而為開發者提供軟件組件構建過程的可驗證記錄。

OSS Rebuild 項目具有多重優勢,主要面向安全團隊和維護者。對于安全團隊而言,他們能夠檢測未提交的源代碼、構建環境被入侵以及隱蔽的后門程序。OSS Rebuild 還增強了元數據,補充了軟件物料清單,并加速了漏洞響應。
IT酷哥從谷歌官方博客獲悉,該項目最初支持 PyPI(Python)、npm(JS / TS)和 Createsio(Rust),并計劃支持更多生態系統。用戶可以通過命令行使用該項目,以獲取來源信息、探索重建版本和重建包。
本文鏈接:http://m.www897cc.com/showinfo-26-172273-0.html防止開源供應鏈“下毒”,谷歌推出 OSS Rebuild 項目
聲明:本網頁內容旨在傳播知識,若有侵權等問題請及時與本網聯系,我們將在第一時間刪除處理。郵件:2376512515@qq.com