{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Katsetused avatud projektide \u00fcle kontrolli saamiseks, mis sarnanevad xz paketi juhtumile","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
OpenSSF (Open Source Security Foundation) organisatsioon, mis on loodud Linux Foundation'i toetusel avatud tarkvara turvalisuse parandamiseks, hoiatab kogukonda tegevuse eest, mis on seotud katsetega saada kontrolli populaarsete avatud projektide \u00fcle. See tegevus sarnaneb kurjategijate meetoditega, keda kahtlustatakse, et nad valmistavad ette b\u00e4duba projekti xz. Sarnaselt xz-le \u00fcritasid kahtlased isikud, kes varem ei olnud s\u00fcgavalt seotud arendustegevusega, kasutada sotsiaalset inseneerimist oma eesm\u00e4rkide saavutamiseks. <\/p>\n
R\u00fcndajad asusid suhtlema OpenJS Foundationi juhtkomitee liikmete kanssa, mis tegutseb neutraalse platvormina avatud JavaScript-projektide, nagu Node.js, jQuery, Appium, Dojo, PEP, Mocha ja webpack, \u00fchise arendamise jaoks. Suhtluses osales mitu kolmanda osapoole arendajat, kellel on kahtlane ajalugu avatud tarkvara arenduses, ning \u00fcritati veenda juhtkonda, et on vajalik uuendada \u00fchte populaarset JavaScript-projekti, mille OpenJS korraldab. <\/p>\n
Uuendamise p\u00f5hjuseks nimetati vajadust lisada \u201ekaitse k\u00f5ikide kriitiliste haavatavuste\u201d eest. Samas ei toodu v\u00e4lja mingeid t\u00e4iendavaid detaile haavatavuste sisu kohta. Muudatuste elluviimiseks pakkus kahtlase mainega arendaja, et teda tuleks kaasata projekti, mille arendamisel oli ta varem osalenud vaid v\u00e4hesel m\u00e4\u00e4ral. Lisaks on sarnased kahtlased stsenaariumid koodi sundimise osas tuvastatud veel kahes populaarses JavaScript-projektis, mis ei ole seotud OpenJS-iga. Eeldatakse, et juhtumid ei ole erandlikud ja avatud projektide kaasata tuleb olla ettevaatlik koodi vastuv\u00f5tmisel ja uute arendajate kinnitamisel. <\/p>\n
Kuritegevusega seotud tunnuste hulka kuulub heatahtlik, kuid samas agressiivne ja tungiv k\u00e4itumine tundmatute kogukonna liikmete poolt, kes p\u00fc\u00fcavad sponsoreid v\u00f5i projektijuhte, et edendada oma koodi v\u00f5i saada sponsori staatust. T\u00e4helepanu tuleks p\u00f6\u00f6rata ka toetajate r\u00fchma tekkimisele v\u00e4ljendatud ideede \u00fcmber, mis on moodustatud v\u00e4ljam\u00f5eldud isikutest, kes ei ole varem arenduses osalenud v\u00f5i on hiljuti liitunud kogukonnaga. <\/p>\n
Muudatuste tegemise puhul tuleks v\u00f5tta arvesse potentsiaalselt kahjulike tegevustena binaarsete andmete liitmise katseid (n\u00e4iteks xz, kus backdoor edastati arhivide kaudu lahtipakkimise testimiseks) v\u00f5i keerulist arusaamatut koodi. Tuleb t\u00e4hele panna ka katseid, mis teevad muutusi, mis veidi v\u00e4hendavad turvalisust, saadetud tagasiside saamiseks kogukonna reaktsiooni ja j\u00e4lgivaid isikuid kontrollimiseks (n\u00e4iteks xz, kus Safe_fprintf funktsioon vahetati fprintf vastu). Kahtlusi peaks tekitama ebat\u00fc\u00fcpilised muudatused koostamise, kompileerimise ja projekti juurutamise meetodites, kolmandate osapoolte artefaktide kasutamine ja tungiv tunne, et muudatused tuleb kiiresti teostada. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"