একটি NPM প্যাকেজ তৈরি করার পরীক্ষা করুন যা সংগ্রহস্থলের সমস্ত প্যাকেজের উপর নির্ভরশীল

জাভাস্ক্রিপ্ট প্যাকেজগুলির একজন ডেভেলপার এনপিএম রিপোজিটরিতে "সবকিছু" প্যাকেজ তৈরি এবং স্থাপন করার বিষয়ে পরীক্ষা করেছেন, যা রিপোজিটরিতে বিদ্যমান সমস্ত প্যাকেজ নির্ভরতা সহ কভার করে। এই বৈশিষ্ট্যটি বাস্তবায়ন করার জন্য, "এভরিথিং" প্যাকেজের পাঁচটি "@everything-registry/chunk-N" প্যাকেজের সাথে সরাসরি নির্ভরতা রয়েছে, যার ফলস্বরূপ 3000 টিরও বেশি "সাব-চাঙ্ক-এন" প্যাকেজের উপর নির্ভরশীলতা রয়েছে, যার প্রতিটির সাথে আবদ্ধ সংগ্রহস্থলে 800টি বিদ্যমান প্যাকেজ।

NPM-এ "সবকিছু" রাখার দুটি আকর্ষণীয় প্রভাব ছিল। প্রথমত, "সবকিছু" প্যাকেজটি DoS আক্রমণগুলি সম্পাদনের জন্য এক ধরণের হাতিয়ার হয়ে উঠেছে, যেহেতু এটি ইনস্টল করার প্রচেষ্টা NPM-এ হোস্ট করা লক্ষ লক্ষ প্যাকেজ ডাউনলোড করতে এবং উপলব্ধ ডিস্কের স্থানকে নিঃশেষ করে দেয় বা বিল্ড প্রক্রিয়াগুলি সম্পাদন বন্ধ করে দেয়। NPM পরিসংখ্যান অনুসারে, প্যাকেজটি প্রায় 250 বার ডাউনলোড করা হয়েছিল, কিন্তু বিকাশকারীর অ্যাকাউন্ট নাশকতা করার জন্য হ্যাক হওয়ার পরে কেউ এটিকে অন্য প্যাকেজে নির্ভরতা হিসাবে যুক্ত করতে বিরক্ত করে না। এছাড়াও, কিছু পরিষেবা এবং সরঞ্জাম যা NPM দ্বারা হোস্ট করা নতুন প্যাকেজগুলি নিরীক্ষণ এবং পরীক্ষা করে অজান্তেই আক্রমণের মুখোমুখি হয়েছিল।

দ্বিতীয়ত, "সবকিছু" প্যাকেজ প্রকাশ করার ফলে এনপিএম-এর যে কোনো প্যাকেজ মুছে ফেলার ক্ষমতা কার্যকরভাবে ব্লক করা হয়েছে যা এর নির্ভরতা তালিকায় শেষ হয়েছে। NPM থেকে একটি প্যাকেজ শুধুমাত্র লেখক দ্বারা সরানো যেতে পারে যদি এটি ইতিমধ্যেই অন্যান্য প্যাকেজের নির্ভরতাগুলিতে ব্যবহৃত না হয়, তবে "সবকিছু" প্রকাশের পরে নির্ভরতাগুলি সংগ্রহস্থলের সমস্ত প্যাকেজকে কভার করতে পরিণত হয়। এটি লক্ষণীয় যে "সবকিছু" প্যাকেজটি অপসারণও অবরুদ্ধ করা হয়েছিল, যেহেতু 9 বছর আগে একটি পরীক্ষা প্যাকেজ "সবকিছু-অন্য কিছু" সংগ্রহস্থলে পোস্ট করা হয়েছিল, যা নির্ভরতার তালিকায় স্ট্রিং "সবকিছু" অন্তর্ভুক্ত করেছিল। এইভাবে, প্রকাশের পরে, "সবকিছু" প্যাকেজটি অন্য প্যাকেজের উপর নির্ভরশীল হয়ে পড়ে।

উত্স: opennet.ru