Всем привет!
«Каждый раз, когда вы запускаете
cargo add или pip install, вы совершаете прыжок веры» - именно так начинается статья от Trail Of Bits, посвященная безопасности цепочки поставки.В ней Авторы сфокусировались на вопросах доверия:
🍭 Тому, что устанавливается именно тот пакет, который вы указали
🍭 Тому, что пакет опубликован теми, кто его поддерживает (maintainers)
🍭 Тому, что пакет был создан из опубликованных исходных кодов
🍭 Доверия тем, кто поддерживает и развивает используемые пакеты
И именно на эксплуатации этого доверия и совершаются различные атаки. От typosquatting до намеренного внедрения вредоносного кода.
Далее Авторы разбирают примеры известных атак для демонстрации того, что «ничему нельзя верить» и лучше убедиться самостоятельно лишний раз.
Завершает статью описание способов защиты, которые позволяют реализовать и контролировать доверие: от генерации SBoM (куда уж без них) до создания аттестаций.
Кстати, если тема вам интересна, то на канале мы много писали про материалы от OpenSSF, которые могут быть очень полезны при обеспечении безопасности цепочки поставки.
Например, тут, тут и тут (и поиском по OpenSSF)
