ઓપન સોર્સ પ્રોજેક્ટ્સ પર નિયંત્રણ મેળવવાના પ્રયાસો, xz પેકેજની જેમ જ

ઓપન સોર્સ સોફ્ટવેરની સુરક્ષામાં સુધારો કરવા માટે Linux ફાઉન્ડેશનના આશ્રય હેઠળ બનાવવામાં આવેલ OpenSSF (ઓપન સોર્સ સિક્યુરિટી ફાઉન્ડેશન), તેની શૈલીમાં યાદ અપાવે તેવા લોકપ્રિય ઓપન સોર્સ પ્રોજેક્ટ્સ પર નિયંત્રણ મેળવવાના પ્રયાસોથી સંબંધિત પ્રવૃત્તિની ઓળખ વિશે સમુદાયને ચેતવણી આપી હતી. પ્રોજેક્ટ xz માં બેકડોર ઇન્સ્ટોલ કરવાની તૈયારીની પ્રક્રિયામાં હુમલાખોરોની ક્રિયાઓ. xz પરના હુમલાની જેમ જ, શંકાસ્પદ વ્યક્તિઓ કે જેઓ અગાઉ વિકાસમાં ઊંડાણપૂર્વક સંકળાયેલા ન હતા, તેઓએ તેમના ધ્યેયો સિદ્ધ કરવા માટે સામાજિક ઇજનેરી પદ્ધતિઓનો ઉપયોગ કરવાનો પ્રયાસ કર્યો.

હુમલાખોરોએ ઓપનજેએસ ફાઉન્ડેશનની ગવર્નિંગ કાઉન્સિલના સભ્યો સાથે પત્રવ્યવહાર કર્યો, જે Node.js, jQuery, Appium, Dojo, PEP, Mocha અને webpack જેવા ઓપન JavaScript પ્રોજેક્ટના સંયુક્ત વિકાસ માટે તટસ્થ પ્લેટફોર્મ તરીકે કામ કરે છે. પત્રવ્યવહાર, જેમાં શંકાસ્પદ ઓપન સોર્સ ડેવલપમેન્ટ ઇતિહાસ ધરાવતા કેટલાક તૃતીય-પક્ષ વિકાસકર્તાઓનો સમાવેશ થાય છે, ઓપનજેએસ સંસ્થા દ્વારા ક્યુરેટ કરાયેલ લોકપ્રિય JavaScript પ્રોજેક્ટ્સમાંથી એકને અપડેટ કરવાની જરૂરિયાત અંગે મેનેજમેન્ટને સમજાવવાનો પ્રયાસ કર્યો હતો.

અપડેટનું કારણ "કોઈપણ ગંભીર નબળાઈઓ સામે રક્ષણ" ઉમેરવાની જરૂરિયાત હોવાનું જણાવવામાં આવ્યું હતું. જો કે, નબળાઈઓના સાર વિશે કોઈ વિગતો આપવામાં આવી નથી. ફેરફારોને અમલમાં મૂકવા માટે, શંકાસ્પદ વિકાસકર્તાએ તેને પ્રોજેક્ટના જાળવણીકારોમાં શામેલ કરવાની ઓફર કરી, જેના વિકાસમાં તેણે અગાઉ માત્ર એક નાનો ભાગ લીધો હતો. વધુમાં, ઓપનજેએસ સંસ્થા સાથે સંકળાયેલા ન હોય તેવા બે વધુ લોકપ્રિય JavaScript પ્રોજેક્ટ્સમાં તેમનો કોડ લાદવા માટે સમાન શંકાસ્પદ દૃશ્યો ઓળખવામાં આવ્યા હતા. એવું માનવામાં આવે છે કે કેસો અલગ નથી અને ઓપન સોર્સ પ્રોજેક્ટ્સના જાળવણીકારોએ કોડ સ્વીકારતી વખતે અને નવા વિકાસકર્તાઓને મંજૂરી આપતી વખતે સતર્ક રહેવું જોઈએ.

દૂષિત પ્રવૃત્તિ સૂચવી શકે તેવા સંકેતોમાં હેતુપૂર્વકનો સમાવેશ થાય છે, પરંતુ તે જ સમયે આક્રમક અને સતત, ઓછા જાણીતા સમુદાયના સભ્યો દ્વારા તેમના કોડને પ્રોત્સાહન આપવા અથવા જાળવણીકારનો દરજ્જો આપવાના વિચાર સાથે જાળવણીકારો અથવા પ્રોજેક્ટ મેનેજરોનો સંપર્ક કરવાના પ્રયાસો. પ્રચાર કરવામાં આવતા વિચારોની આસપાસ એક સહાયક જૂથના ઉદભવ પર પણ ધ્યાન આપવું જોઈએ, જે કાલ્પનિક વ્યક્તિઓ દ્વારા રચાયેલ છે કે જેમણે અગાઉ વિકાસમાં ભાગ લીધો નથી અથવા તાજેતરમાં સમુદાયમાં જોડાયા છે.

ફેરફારો સ્વીકારતી વખતે, તમારે મર્જ વિનંતીઓમાં દ્વિસંગી ડેટાનો સમાવેશ કરવાના સંભવિત દૂષિત પ્રવૃત્તિના પ્રયાસોના સંકેતો તરીકે ધ્યાનમાં લેવું જોઈએ (ઉદાહરણ તરીકે, xz માં, અનપેકરને ચકાસવા માટે આર્કાઇવ્સમાં બેકડોર સબમિટ કરવામાં આવ્યો હતો) અથવા કોડ કે જે ગૂંચવણમાં મૂકે છે અથવા સમજવામાં મુશ્કેલ છે. સમુદાયના પ્રતિસાદને માપવા માટે સબમિટ કરવામાં આવેલા નાના સુરક્ષા-ક્ષતિગ્રસ્ત ફેરફારો પર અજમાયશના પ્રયાસો પર વિચારણા કરવી જોઈએ અને તે જોવા માટે કે ફેરફારોને ટ્રૅક કરી રહેલા લોકો છે કે કેમ (દા.ત. xz એ સલામત_fprintf ફંક્શનને fprintf સાથે બદલ્યું છે). પ્રોજેક્ટના સંકલન, એસેમ્બલી અને જમાવટની પદ્ધતિઓમાં અસામાન્ય ફેરફારો, તૃતીય-પક્ષ કલાકૃતિઓનો ઉપયોગ અને તાકીદે ફેરફારોને અપનાવવાની જરૂરિયાતની લાગણીમાં વધારો દ્વારા પણ શંકા પેદા થવી જોઈએ.

સોર્સ: opennet.ru