Точка сборки: артефакты и атаки

Как заметили в комментарии к предыдущему посту, SLSA имеет ограничение: его авторы не рассматривают методы защиты зависимостей сборки. А мы рассмотрим.

Начнем с атак: на рисунке перечислены основные артефакты пакета, которые импортируются из внешних источников и экспортируются во вне. Красным отмечены атаки на конкретный артефакт:

1. Dependency confusion - категория атак на зависимости пакета для внедрения вредоносного кода в его репозиторий или сборку. Рекурсия: атакуем зависимости пакета, который сам является зависимостью для какого-то ПО.
2. Repository hijacking - атака на репозиторий или на систему управления пакетами.
3. Typosquatting - создание вредоносного репозитория для его последующего внедрения в процесс сборки.
4. Изменение инструкций - любая runtime-атака, результатом которой является изменение логики работы пакета. Например, подключение вредоносных артефактов среды выполнения: сервера хранения данных, системы управления инфраструктурой, страницы документации.