Google OSS Rebuild: как новый проект защищает цепочки поставок открытого кода

Google объявил о запуске OSS Rebuild — нового проекта, направленного на повышение доверия к экосистемам открытого кода. Проект автоматически воспроизводит сборки пакетов из репозиториев PyPI (Python), npm (JavaScript/TypeScript) и Crates.io (Rust), создавая декларативные описания сборок и генерируя SLSA-провенанс уровня Build Level 3. Это позволяет командам безопасности проверять целостность зависимостей без участия мейнтейнеров. OSS Rebuild не требует от разработчиков дополнительных действий и предоставляет независимую верификацию, что делает его важным инструментом в борьбе с атаками на цепочки поставок.

Почему OSS Rebuild важен для безопасности цепочек поставок

Открытый код составляет 77% современных приложений, а его оценочная стоимость превышает 12 триллионов долларов. Однако атаки на цепочки поставок становятся всё более изощрёнными: злоумышленники компрометируют популярные пакеты, подрывая доверие к экосистеме. Существующие решения, такие как OpenSSF Scorecard, Trusted Publishers от PyPI или SLSA от npm, решают лишь отдельные аспекты проблемы и часто перекладывают нагрузку на мейнтейнеров. OSS Rebuild предлагает альтернативный подход: он воспроизводит сборки независимо, без участия издателей. Это означает, что даже если мейнтейнер не предоставляет доказательств безопасности, OSS Rebuild может самостоятельно проверить, что пакет собран из заявленного исходного кода и не содержит вредоносных изменений.

Как работает OSS Rebuild

Проект включает несколько ключевых компонентов. Во-первых, автоматизация для вывода декларативных определений сборки существующих пакетов из PyPI, npm и Crates.io. Это позволяет OSS Rebuild анализировать, как пакет был собран, и создавать воспроизводимый процесс. Во-вторых, SLSA-провенанс для тысяч пакетов, соответствующий требованиям SLSA Build Level 3, без вмешательства издателей. SLSA (Supply-chain Levels for Software Artifacts) — это фреймворк для оценки безопасности цепочек поставок, и уровень 3 означает, что сборка полностью воспроизводима и подписана. В-третьих, инструменты наблюдаемости и верификации сборок, которые можно интегрировать в существующие процессы управления уязвимостями. Наконец, инфраструктурные определения позволяют организациям запускать собственные экземпляры OSS Rebuild для воспроизведения, подписания и распространения провенанса.

Какие пакеты поддерживает OSS Rebuild?

На данный момент OSS Rebuild поддерживает три крупнейшие экосистемы: PyPI для Python, npm для JavaScript и TypeScript, а также Crates.io для Rust. Это покрывает огромную долю современных проектов с открытым исходным кодом. Google планирует расширять поддержку на другие репозитории в будущем, но точные сроки пока не объявлены. Для каждой экосистемы OSS Rebuild автоматически определяет процесс сборки и генерирует провенанс, который можно использовать для проверки целостности пакетов.

Кому будет полезен OSS Rebuild

Проект в первую очередь полезен командам безопасности, которые хотят проверять целостность зависимостей, не полагаясь на мейнтейнеров. Разработчики и организации, использующие открытый код, смогут повысить уровень доверия к своим цепочкам поставок. Мейнтейнеры пакетов также выиграют, так как снижается нагрузка на них по предоставлению доказательств безопасности. Кроме того, OSS Rebuild может быть интегрирован в CI/CD пайплайны, что позволяет автоматически верифицировать зависимости перед развёртыванием.

Что пока неизвестно о OSS Rebuild

На данный момент не раскрыт точный список пакетов, для которых уже сгенерирован провенанс, а также сроки добавления поддержки других экосистем. Пока неизвестно, как проект будет масштабироваться на большее количество пакетов и какова стоимость поддержки инфраструктуры. Однако Google обещает, что OSS Rebuild будет открытым и доступным для сообщества, что позволит разработчикам и организациям вносить свой вклад и улучшать проект.

Как OSS Rebuild защищает от атак на цепочки поставок

Атаки на цепочки поставок становятся всё более распространёнными. Злоумышленники могут внедрить вредоносный код в популярные пакеты, который затем распространяется на тысячи проектов, использующих эти зависимости. OSS Rebuild предотвращает такие атаки, предоставляя независимую проверку того, что пакет собран из заявленного исходного кода. Если злоумышленник изменит код или процесс сборки, OSS Rebuild не сможет воспроизвести пакет, и это будет сигналом о потенциальной угрозе. Таким образом, проект повышает прозрачность и доверие к открытому коду.

Как начать использовать OSS Rebuild

OSS Rebuild доступен как открытый проект на GitHub. Разработчики могут клонировать репозиторий, настроить инфраструктуру и начать воспроизводить сборки пакетов. Google также предоставляет готовые инструменты для интеграции с существующими системами управления уязвимостями. Для начала работы достаточно иметь базовые знания о Docker и Kubernetes, так как инфраструктура OSS Rebuild основана на контейнеризации.

Перспективы развития OSS Rebuild

Google планирует активно развивать OSS Rebuild, добавляя поддержку новых экосистем и улучшая автоматизацию. В будущем проект может стать стандартом для верификации цепочек поставок открытого кода. Участие сообщества будет ключевым фактором успеха: разработчики могут предлагать улучшения, добавлять новые пакеты и помогать в масштабировании инфраструктуры. OSS Rebuild — это шаг к более безопасной и прозрачной экосистеме открытого кода.