Hermetic build environments contain supply chain worms
This article discusses how hermetic (fully isolated and reproducible) build environments can prevent "Shai-Hulud" supply chain attacks, where malicious code worms through multi-stage build pipelines. By ensuring builds don't have network access or hidden dependencies, hermetic builds contain these worms and block their propagation across the software supply chain, offering a practical security layer for modern development workflows.
背景メモ
- 「Shai-Hulud攻撃」とは、依存関係のツリーを深く潜行しながら改変し、最終的にビルド環境に感染するサプライチェーン攻撃の一種。名称は『デューン』の砂虫に由来。
- フロックス（Flox）は、再現可能な開発環境とパッケージ管理を提供するオープンソースツール。Nixをベースに、よりユーザーフレンドリーなCLIと環境管理機能を持つ。
- 「Hermetic build（密閉ビルド）」は、ネットワークアクセスや外部状態に依存せず、宣言された入力のみから完全に再現可能なビルド。通常のビルドが「壊れやすい」のに対し、密閉ビルドは改変や意図しない依存の流入を防ぐ。
- サプライチェーン攻撃（例：SolarWinds事件、xz/utilsのバックドア事件）が現実の脅威として注目される中、ビルドパイプライン自体を攻撃経路とするShai-Hulud型の手法への対策として、密閉ビルドの重要性が論じられている。