He was not the imposter

Пару постов назад упоминал про взлом GitHub. Официально заявлялось, что проделано это было с помощью ранее взломанного расширения для Visual Studio Code, но не везде были подробности.

Группа хакеров TeamPCP украла GitHub-токен одного из контрибьюторов расширения Nx Console и опубликовала версию с закладкой. Разработчик из GitHub успел её скачать — и через его машину хакеры добрались до исходного кода GitHub и ~3800 внутренних репозиториев.

Visual Studio Code как редактор во многом живёт за счёт расширений. Но это же и делает его уязвимым. Главный вопрос: какие расширения можно считать безопасными? Nx Console на момент атаки имела 2,2 млн установок и статус верифицированного издателя.

А проблема в том, что кто угодно с кредами на руках может загрузить в маркетплейс всё, что угодно. Вредоносная версия расширения продержалась на серверах Microsoft целых 18 минут.

В этом контексте интересен пример другого редактора, который живёт на пользовательских расширениях — Obsidian. Штука мощная сама по себе, но благодаря пользовательским расширениям из неё можно построить что-то большее, чем просто систему для заметок.

В середине мая Obsidian запустил обновлённый каталог плагинов. Но важнее другое: вместе с ним появилась новая система модерации. Теперь каждый плагин проходит автоматические проверки при каждом обновлении — не только при первой публикации. Проверяется наличие сетевых запросов, безопасность зависимостей, соответствие политикам.

И самое важное — результаты этих проверок видны каждому пользователю в карточке плагина. Таким образом Obsidian даёт прозрачную метрику для понимания, что можно ставить на свой компьютер, а что не стоит.

Хочется верить, что такой подход к безопасности доберётся и до Microsoft, но даже столь серьёзный инцидент может оказаться недостаточным сигналом для такой большой корпорации.

🎤feelin #security