破解開源生態“投毒”攻擊

原文地址：http://news.sciencenet.cn/htmlnews/2022/6/481592.shtm

代碼投毒、刪庫跑路，近年來，隨著軟件供應鏈各個環節的攻擊事件頻頻出現，軟件供應鏈安全問題已經成為了開源生態建設非常重要的部分。

近日，中國科學院軟件研究所（以下簡稱軟件所）智能軟件研究中心團隊（以下簡稱團隊）基于開源軟件供應鏈重大基礎設施，實現了面向全網針對開源生態“投毒”攻擊現象的持續監測。團隊在開源軟件存儲庫惡意擴展包檢測中，發現Python官方擴展包倉庫被惡意上傳了8個惡意包及707個被“投毒”成功的開源項目。

開源，既是數字化創新的動力，也是軟件供應鏈攻擊的目標。所謂開源生態“投毒”，指的是攻擊者利用軟件供應商與最終用戶之間的信任關系，在合法軟件的開發、傳播和升級過程中進行劫持或篡改，從而達到非法目的的攻擊類型。

“投毒攻擊在開源生態中是一個特有的現象，因為其鏈式傳染的波及面非常廣，威脅也更大。”軟件所研究員開源軟件供應鏈重大基礎設施技術負責人吳敬征表示。

當前，有超過99%的商業軟件包含開源軟件，一旦具有大規模用戶基礎的開源軟件存在安全漏洞，勢必會影響整個軟件產業、甚至其他重要行業的供應鏈安全。

正因如此，針對開源軟件生產、分發、使用全過程的風險管理尤為重要，其中就包括開源軟件安全檢測機制。

“開源生態下，軟件數量非常龐大，同時單個軟件的代碼規模也很大。這就使得過去基于規則的檢測工具面臨著沉重的運行負擔。而且，這些工具的檢測目標比較寬泛，難以針對‘投毒’攻擊進行精準打擊。”吳敬征解釋。

為此，團隊自主研發了一種新型的惡意包分析工具。在應用于Python惡意包的檢測中，他們發現Python官方擴展包倉庫被上傳了8個惡意包，其中包含了惡意代碼，存在巨大的安全隱患，比如竊取隱私信息、數字貨幣密鑰、種植持久化后門、遠程控制等一系列攻擊活動。團隊已經把在Python平臺發現的8個惡意包上報給PyPI官方。

此外，對于第三方插入的代碼執行后門的擴展包的檢測，團隊通過開源軟件供應鏈重大基礎設施的供應鏈分析模塊進行檢測。結果共發現了707個被“投毒”成功的開源項目，其中85個發布在Python官方擴展包倉庫，622個發布在公共代碼托管平臺（Github、GitLab）。

目前，團隊已將707個被“投毒”成功的開源項目反饋給國家信息安全漏洞共享平臺（CNVD）、國家信息安全漏洞庫（CNNVD）等安全漏洞管理機構，其中17個漏洞現已獲得正式編號。

為應對開源生態存在的風險，軟件所于2021年起聯合中科南京軟件技術研究院啟動開源軟件供應鏈重大基礎設施，建設了國內首個集開源軟件采集存儲、開發測試、集成發布、運維升級等一體化設施。其主要功能包括開源軟件供應鏈關鍵節點分析、開源軟件供應鏈可靠構建、開源軟件可維護性分析、開源軟件及其供應鏈安全分析及開源軟件合規性分析等。