Google annuncia OSS Rebuild per migliorare la sicurezza dell’open-source

La scorsa settimana Google ha annunciato OSS Rebuild, un’iniziativa che mira a rendere più sicuro il software open-source rendendo l’accesso agli artefatti più trasparente per gli sviluppatori.

“L’open-source è diventato la base del nostro mondo digitale. Dalle infrastrutture critiche alle applicazioni di tutti i giorni, le componenti open-source oggi rappresentano il 77% del software moderno” ha affermato Matthew Suozzo del Google Open Source Security Team. Questa ubiquità rende però il software open-source un obiettivo perfetto per i cybercriminali: compromettendo i pacchetti più usati, è possibile realizzare attacchi supply-chain con impatti elevati.

OSS Rebuild garantisce la trasparenza basandosi su un processo di build dichiarativo e riproducibile per garantire la sicurezza di un determinato pacchetto. Dato un artefatto già caricato, OSS Rebuild dichiara una definizione di build per il pacchetto e riesegue la build; in seguito, compara semanticamente il risultato con l’artefatto già caricato.

Una volta riprodotta la build, ne viene pubblicata la definizione e il risultato tramite SLSA (Supply-chain Levels for Software Artifacts), un framework Google per garantire e proteggere l’integrità dei pacchetti software. Il processo mette a disposizione della community dei metadati sui pacchetti open-source che validano l’origine degli artefatti e garantiscono che non sono stati compromessi.

Credits: Google

OSS Rebuild è in grado di identificare diverse problematiche e classi di attacchi supply-chain, come backdoor nascoste o codice presente nei pacchetti ma non nel codice sorgente. L’iniziativa contribuisce inoltre a velocizzare il processo di individuazione delle vulnerabilità, aumenta l’affidabilità dei pacchetti in uso ed elimina la necessità dei controlli di sicurezza nelle piattaforme di CI/CD. Attualmente il progetto supporta NPM, PyPI e Crates.io.

“OSS Rebuild non si limita a risolvere i problemi, ma mira a responsabilizzare gli utenti finali affinché rendano gli ecosistemi open source più sicuri e trasparenti attraverso un’azione collettiva. Se sei uno sviluppatore, un’azienda o un ricercatore nel campo della sicurezza interessato alla sicurezza OSS, ti invitiamo a seguirci e a partecipare” ha concluso Suozzo.