Das Google Open Source Security Team hat OSS Rebuild angekündigt, ein Projekt, das darauf abzielt, das Vertrauen in Open-Source-Paketökosysteme durch die Reproduktion von Upstream-Artefakten zu stärken. Das Projekt bietet Automatisierung zur Ableitung deklarativer Build-Definitionen, SLSA-Herkunft für Tausende von Paketen sowie Tools zur Beobachtbarkeit und Verifizierung von Builds. OSS Rebuild hilft Sicherheitsteams, Kompromittierungen zu vermeiden, ohne die Upstream-Maintainer zu belasten. Open-Source-Software ist zur Grundlage unserer digitalen Welt geworden, aber ihre Allgegenwart macht sie zu einem attraktiven Ziel für Angriffe auf die Lieferkette. Jüngste hochkarätige Angriffe haben das Vertrauen in offene Ökosysteme erschüttert und zu Zögern bei Mitwirkenden und Nutzern geführt. OSS Rebuild befähigt die Sicherheitsgemeinschaft, ihre Lieferketten tiefgreifend zu verstehen und zu kontrollieren, indem es den Paketkonsum transparent macht. Das Projekt nutzt einen deklarativen Build-Prozess, Build-Instrumentierung und Netzwerküberwachungsfunktionen, um feingranulare, dauerhafte und vertrauenswürdige Sicherheitsmetadaten zu produzieren. OSS Rebuild kann mehrere Klassen von Kompromittierungen der Lieferkette erkennen, darunter nicht eingereichten Quellcode, Kompromittierung der Build-Umgebung und heimliche Backdoors. Das Projekt bietet Funktionen für Unternehmen, Sicherheitsexperten, Publisher und Maintainer von Open-Source-Paketen, um Metadaten zu verbessern, SBOMs zu erweitern und die Reaktion auf Schwachstellen zu beschleunigen. OSS Rebuild lädt Entwickler, Unternehmen und Sicherheitsforscher ein, sich zu beteiligen und zur Verbesserung der Unterstützung für kritische Ökosysteme und Pakete beizutragen.