Google a annoncé le lancement de “OSS-Rebuild”, un projet de compilation déterministe visant à détecter les vulnérabilités cachées dans les bibliothèques open source. Cette nouvelle initiative s’inscrit dans la continuité des efforts du géant technologique pour améliorer la transparence, la traçabilité et la sécurité de la chaîne d’approvisionnement logicielle.
Le contexte : des chaînes logicielles de plus en plus complexes et vulnérables
Avec la généralisation des dépendances open source dans les logiciels d’entreprise et les infrastructures critiques, la sécurité de ces composants est devenue un enjeu central. Les incidents comme ceux impliquant Log4Shell, SolarWinds ou encore des packages npm infectés ont illustré à quel point une faille dans une bibliothèque tierce peut avoir des conséquences systémiques.
C’est dans ce contexte que Google lance OSS-Rebuild, un projet open source qui vise à analyser et reconstruire de manière transparente les packages logiciels populaires afin d’identifier toute divergence entre les sources originales et les binaries réellement distribués.
Compilation déterministe : de quoi parle-t-on ?
L’élément central d’OSS-Rebuild repose sur le concept de compilation déterministe (reproducible builds). Il s’agit d’un processus par lequel un logiciel compilé à partir d’un même code source, dans un environnement donné, produit exactement le même fichier binaire.
Cela permet de :
Garantir l’intégrité du code : tout écart entre le binaire et le code source est immédiatement détectable.
Prévenir les attaques par injection : notamment les supply chain attacks où un acteur malveillant insère un code malveillant après la phase de revue du code.
Renforcer la confiance dans les packages distribués publiquement.
Objectifs de OSS-Rebuild
Le projet OSS-Rebuild a pour objectifs principaux :
Analyser les packages open source les plus utilisés, notamment dans les langages Python (PyPI), Go, Rust et Java.
Identifier les packages non déterministes, qui produisent des binaries différents à chaque compilation, un signal potentiel de manipulation.
Faciliter les corrections : en fournissant des rapports aux mainteneurs pour rendre leurs builds reproductibles.
Proposer une chaîne de compilation sécurisée et documentée pour les projets open source majeurs.
Selon Google, cette approche vise à rendre le code plus auditable, plus prévisible et donc plus sécurisé dans le temps.
Un impact concret pour l’écosystème open source
En rendant les packages open source audités et reconstruits de manière transparente, OSS-Rebuild permet aux utilisateurs finaux — entreprises, développeurs, éditeurs — de vérifier que les binaries qu’ils utilisent n’ont pas été modifiés ou corrompus par des tiers.
C’est aussi un levier précieux pour les mainteneurs, souvent submergés par les signalements de failles, pour améliorer la qualité et la sécurité de leur distribution sans changer leur workflow.
Une stratégie plus large autour de la chaîne d’approvisionnement logicielle
OSS-Rebuild s’intègre à une série d’initiatives portées par Google dans le domaine de la sécurité logicielle :
Sigstore : un service de signature numérique pour valider les origines du code.
SLSA (Supply-chain Levels for Software Artifacts) : un cadre de sécurité pour évaluer la robustesse des chaînes logicielles.
OpenSSF (Open Source Security Foundation) : dont Google est membre actif pour soutenir la sécurité de l’open source mondial.
L’objectif global est clair : réduire les angles morts de la sécurité logicielle en automatisant les vérifications, en favorisant la reproductibilité, et en renforçant la responsabilité dans la chaîne de développement.
Conclusion
Avec OSS-Rebuild, Google s’attaque à l’un des points les plus sensibles du développement logiciel moderne : la confiance dans les artefacts compilés. En fournissant un cadre de compilation déterministe et auditable, ce projet pourrait devenir une brique essentielle pour sécuriser les fondations de l’open source à grande échelle.
Source : Google Security Blog – Juillet 2025
Rédaction : cybersecurite.com