ارتباك الاعتماديات: اسم الحزمة صار هجومًا

في بداية هذا الشهر عرض باحث أمني حيلة بسيطة. الشركات تستخدم حزمًا داخلية بأسماء خاصة. فإذا نشر أحدهم حزمة عامة بالاسم نفسه ورقم إصدار أعلى على npm أو PyPI أو RubyGems، تثبّت بعض أدوات البناء الحزمة العامة بدلًا منها. وعملت حزم الاختبار التي نشرها الباحث داخل عشرات الشركات الكبرى، منها Apple وMicrosoft وPayPal، وحصل على مكافآت.

افحص إعدادك:

• استخدم حزمًا بنطاق خاص (مثل @yourcompany/utils) وامتلك ذلك النطاق في السجل العام.
• وجّه مديري الحزم إلى سجل واحد يعمل وسيطًا للسجل العام، فتفوز الأسماء الداخلية دائمًا.
• ثبّت الإصدارات واستخدم ملفات القفل.
• احجز أسماءك الداخلية في السجلات العامة بحزم فارغة، إن لم تكن النطاقات ممكنة.
• راقب خوادم البناء بحثًا عن اتصالات خارجية غير متوقعة.

مديرو الحزم يفعلون بالضبط ما يُطلب منهم. تأكد أنك تطلب الشيء الصحيح.