{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Katkestused avatud projektide \u00fcle kontrolli saamiseks, sarnased xz paketi juhtumiga","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
OpenSSF (Avatud Allika Turbe Sihtasutus), mis loodi Linux Foundation'i toetusel avatud tarkvara turvalisuse parandamiseks, on hoiatanud kogukonda avatud projektide \u00fcle kontrolli saamiseks toimuva tegevuse eest, mis meenutab h\u00e4kkerite k\u00e4itumist xz projekti tagasiukse paigaldamise ettevalmistamise k\u00e4igus. Sarnaselt xz-le on kahtlased isikud, kes varem olid s\u00fcgavalt mitteseotud arendusega, p\u00fc\u00fcdnud kasutada sotsiaalset inseneritehnoloogiat oma eesm\u00e4rkide saavutamiseks. <\/p>\n
R\u00fcndajad alustasid suhtlust OpenJS Foundationi n\u00f5ukogu liikmetega, mis toimib neutraalse platvormina avatud JavaScripti projektide, nagu Node.js, jQuery, Appium, Dojo, PEP, Mocha ja webpack, koost\u00f6\u00f6ks. Suhtluses osales mitu kolmanda osapoole arendajat, kellel on kahtlane ajalugu avatud tarkvara arendamisel, ning tehti katseid veenda juhtkonda vajaduses uuendada \u00fchte populaarset JavaScripti projekti, mida juhib OpenJS. <\/p>\n
Uuendamise p\u00f5hjuseks toodi v\u00e4lja vajadus lisada \u201ekaitse k\u00f5ikide kriitiliste haavatavuste vastu\u201c. Samas ei esitatud \u00fcksikasjalikke andmeid haavatavuste olemuse kohta. Muudatuste elluviimiseks pakkus kahtlane arendaja, et teda tuleks kaasata projekti ning mille arendamises oli ta varem vaid v\u00e4he osalenud. Lisaks on sarnaseid kahtlastest stsenaariume leidunud veel kahes populaarse JavaScripti projektis, mis ei ole seotud OpenJS organisatsiooniga. Eeldatakse, et sellised juhtumid ei ole \u00fchekordsed ja avatud projektide kaasajatel tuleb olla ettevaatlik koodi vastuv\u00f5tmisel ja uute arendajate kinnitamisel. <\/p>\n
Kaitse k\u00fcsides v\u00f5ib esineda mitmeid m\u00e4rke, mis viitavad pahatahtlikule tegevusele, sealhulgas heatahtlik, kuid samas agressiivne ja pealet\u00fckkiv l\u00e4henemine v\u00e4hetuntud kogukonna liikmete poolt projektide juhtide v\u00f5i toetajate poole, kes p\u00fc\u00fcavad edendada oma koodi v\u00f5i pakkuda toetaja staatust. Samuti tuleks t\u00e4helepanu p\u00f6\u00f6rata toetajate r\u00fchma tekkimisele edendatud ideede \u00fcmber, milles osalevad v\u00e4ljam\u00f5eldud isikud, kes ei ole varem arenduses osalenud v\u00f5i on hiljuti liitunud kogukonnaga. <\/p>\n
Muutuste vastuv\u00f5tmise korral tuleb neid k\u00e4sitleda kui v\u00f5imalike m\u00fcrgiste tegevuste m\u00e4rke, n\u00e4iteks katseid binaarsete andmete sulandumiseks (nt xz tagauks edastati arhiivides lahtipakkimise testimiseks) v\u00f5i keeruliste ja raskesti arusaadavate koodide kasutamist. Tuleb t\u00e4helepanu p\u00f6\u00f6rata katsetele, mis p\u00fc\u00fcavad teha muutusi, mis veidi v\u00e4hendavad turvalisust, saadetuna kogukonna reaktsiooni hindamiseks ja muutuste j\u00e4lgijate olemasolu kontrollimiseks (nt xz Safe_fprintf funktsioon asendati fprintf funktsiooniga). Kahtluse alla tulevad ebatavalised muutused projekti kompileerimise, koostamise ja juurutamise meetodites, kolmandate osapoolte artefaktide kaasamine ja kuhjamine tunnete \u00fcle, et muutuste kiire vastuv\u00f5tmise vajadus on olemas. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"