go-mal-pkgs

Go Module Proxy キャッシュをバイパスし、go.sum のチェックサムを元のソースコードと照合して、悪意のある Go パッケージを検出するセキュリティツールです。

概要

このツールは、最近悪意のある github.com/boltdb-go/bolt パッケージで実証されたように、Go Module Proxy キャッシュを悪用したサプライチェーン攻撃から保護するのに役立ちます。 これらの攻撃は、Go Module Proxy の無期限キャッシュ機構を悪用し、ソースリポジトリが浄化された後でも悪意のあるコードを配信します。

この種の攻撃の詳細については、以下を参照してください:

• Socket - Go サプライチェーン攻撃: 悪意のあるパッケージが Go Module Proxy キャッシュを悪用して永続化

このツールは以下の手順で動作します:

1. Go プロジェクトから go.sum ファイルを読み取る
2. リポジトリから元のソースコードを直接取得する (Go Module Proxy をバイパス)
3. Go の公式アルゴリズムを使用してチェックサムを計算する
4. チェックサムを比較し、侵害されたパッケージを示す可能性のある不一致を検出する

インストール

go install github.com/knqyf263/go-mal-pkgs@latest

使用方法

基本的な使用方法:

go-mal-pkgs /path/to/your/go/project

このツールはプロジェクトの go.sum ファイルを解析し、各モジュールの整合性を検証します。

出力例

検証成功:

$ go-mal-pkgs /path/to/project
Checking golang.org/x/[email protected]...
✅ Verified golang.org/x/[email protected]
Checking github.com/stretchr/[email protected]...
✅ Verified github.com/stretchr/[email protected]

潜在的に悪意のあるパッケージの検出:

$ go-mal-pkgs /path/to/compromised-project
Checking github.com/boltdb-go/[email protected]...
⚠️  WARNING: checksum mismatch for github.com/boltdb-go/[email protected]:
expected: h1:abc123def456...
actual: h1:xyz789uvw012...

仕組み

このツールは、golang.org/x/mod/sumdb/dirhash パッケージを使用して Go のチェックサム検証アルゴリズムを実装しています。go.sum のチェックサムとソースリポジトリから計算されたチェックサムの間に不一致を検出した場合、以下を示している可能性があります:

1. Go Module Proxy キャッシュ内の侵害されたモジュール
2. 改ざんされた悪意のあるパッケージ
3. タイポスクワッティング攻撃 (boltdb-go/bolt のケースなど)
4. その他のサプライチェーンセキュリティ問題

制限事項

• 現在、このツールは GitHub でホストされているモジュールのみをサポートしています
• go.mod のチェックサムは現時点では検証されません
• ソースコードを取得するにはネットワーク接続が必要です

注記

これは、最近の Go モジュールプロキシキャッシュの悪用を受けて、概念実証として作成された実験的なツールです。コードベース全体は Claude 3.5 Sonnet AI アシスタントを使用して生成されました。