ភាពងាយរងគ្រោះដែលអនុញ្ញាតឱ្យមានការចេញផ្សាយបច្ចុប្បន្នភាពសម្រាប់កញ្ចប់ណាមួយនៅក្នុងឃ្លាំង NPM

GitHub បានបង្ហាញឧប្បត្តិហេតុពីរនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធឃ្លាំងកញ្ចប់ NPM របស់ខ្លួន។ នៅថ្ងៃទី 2 ខែវិច្ឆិកា អ្នកស្រាវជ្រាវផ្នែកសន្តិសុខភាគីទីបី (Kajetan Grzybowski និង Maciej Piechota) ដែលជាផ្នែកមួយនៃកម្មវិធី Bug Bounty បានរាយការណ៍អំពីវត្តមាននៃភាពងាយរងគ្រោះនៅក្នុងឃ្លាំង NPM ដែលអនុញ្ញាតឱ្យអ្នកបោះពុម្ពកំណែថ្មីនៃកញ្ចប់ណាមួយដោយប្រើគណនីរបស់អ្នក ដែលមិនត្រូវបានអនុញ្ញាតឱ្យធ្វើបច្ចុប្បន្នភាពបែបនេះទេ។

ភាពងាយរងគ្រោះនេះបណ្តាលមកពីការត្រួតពិនិត្យការអនុញ្ញាតមិនត្រឹមត្រូវនៅក្នុងកូដនៃសេវាមីក្រូដែលដំណើរការសំណើទៅ NPM ។ សេវាកម្មអនុញ្ញាតបានអនុវត្តការត្រួតពិនិត្យការអនុញ្ញាតកញ្ចប់ដោយផ្អែកលើទិន្នន័យដែលបានអនុម័តនៅក្នុងសំណើ ប៉ុន្តែសេវាកម្មមួយផ្សេងទៀតដែលបានផ្ទុកបច្ចុប្បន្នភាពទៅឃ្លាំងបានកំណត់កញ្ចប់ដើម្បីបោះពុម្ពដោយផ្អែកលើមាតិកាទិន្នន័យមេតានៃកញ្ចប់ដែលបានផ្ទុកឡើង។ ដូច្នេះ អ្នកវាយប្រហារអាចស្នើសុំការបោះពុម្ភផ្សាយបច្ចុប្បន្នភាពសម្រាប់កញ្ចប់របស់គាត់ ដែលគាត់មានសិទ្ធិចូលប្រើប្រាស់ ប៉ុន្តែបញ្ជាក់នៅក្នុងកញ្ចប់ព័ត៌មានដោយខ្លួនឯងអំពីកញ្ចប់មួយផ្សេងទៀត ដែលនឹងត្រូវបានអាប់ដេតជាយថាហេតុ។

បញ្ហានេះត្រូវបានជួសជុល 6 ម៉ោងបន្ទាប់ពីភាពងាយរងគ្រោះត្រូវបានរាយការណ៍ ប៉ុន្តែភាពងាយរងគ្រោះមានវត្តមាននៅក្នុង NPM យូរជាងគម្របកំណត់ហេតុទូរលេខ។ GitHub អះអាងថា មិនមានដាននៃការវាយប្រហារដោយប្រើប្រាស់ភាពងាយរងគ្រោះនេះចាប់តាំងពីខែកញ្ញា ឆ្នាំ 2020 មក ប៉ុន្តែមិនមានការធានាថាបញ្ហានេះមិនត្រូវបានកេងប្រវ័ញ្ចពីមុនមកនោះទេ។

ឧបទ្ទវហេតុទីពីរបានកើតឡើងនៅថ្ងៃទី 26 ខែតុលា។ ក្នុងអំឡុងពេលការងារបច្ចេកទេសជាមួយមូលដ្ឋានទិន្នន័យនៃសេវា replicate.npmjs.com វត្តមាននៃទិន្នន័យសម្ងាត់នៅក្នុងមូលដ្ឋានទិន្នន័យដែលអាចចូលដំណើរការបានចំពោះសំណើខាងក្រៅត្រូវបានបង្ហាញ ដោយបង្ហាញព័ត៌មានអំពីឈ្មោះកញ្ចប់ខាងក្នុងដែលត្រូវបានលើកឡើងនៅក្នុងកំណត់ហេតុនៃការផ្លាស់ប្តូរ។ ព័ត៌មានអំពីឈ្មោះបែបនេះអាចត្រូវបានប្រើដើម្បីអនុវត្តការវាយប្រហារដោយភាពអាស្រ័យទៅលើគម្រោងផ្ទៃក្នុង (ក្នុងខែកុម្ភៈ ការវាយប្រហារស្រដៀងគ្នានេះអនុញ្ញាតឱ្យដំណើរការកូដនៅលើម៉ាស៊ីនមេរបស់ PayPal, Microsoft, Apple, Netflix, Uber និងក្រុមហ៊ុនចំនួន 30 ផ្សេងទៀត)។

លើសពីនេះទៀត ដោយសារតែការកើនឡើងនៃករណីនៃឃ្លាំងនៃគម្រោងធំ ៗ ត្រូវបានលួច និងកូដព្យាបាទត្រូវបានផ្សព្វផ្សាយតាមរយៈការសម្របសម្រួលគណនីអ្នកអភិវឌ្ឍន៍ GitHub បានសម្រេចចិត្តណែនាំការផ្ទៀងផ្ទាត់ពីរកត្តាចាំបាច់។ ការផ្លាស់ប្តូរនេះនឹងចូលជាធរមាននៅក្នុងត្រីមាសទីមួយនៃឆ្នាំ 2022 ហើយនឹងអនុវត្តចំពោះអ្នកថែទាំ និងអ្នកគ្រប់គ្រងកញ្ចប់ដែលរួមបញ្ចូលនៅក្នុងបញ្ជីពេញនិយមបំផុត។ លើសពីនេះទៀត វាត្រូវបានរាយការណ៍អំពីការធ្វើទំនើបកម្មនៃហេដ្ឋារចនាសម្ព័ន្ធ ដែលក្នុងនោះការត្រួតពិនិត្យដោយស្វ័យប្រវត្តិ និងការវិភាគនៃកំណែថ្មីនៃកញ្ចប់នឹងត្រូវបានណែនាំសម្រាប់ការរកឃើញដំបូងនៃការផ្លាស់ប្តូរព្យាបាទ។

សូមចងចាំថា យោងតាមការសិក្សាដែលធ្វើឡើងក្នុងឆ្នាំ 2020 មានតែ 9.27% ​​នៃអ្នកថែទាំកញ្ចប់ប្រើប្រាស់ការផ្ទៀងផ្ទាត់ពីរកត្តាដើម្បីការពារការចូលប្រើប្រាស់ ហើយក្នុង 13.37% នៃករណី នៅពេលចុះឈ្មោះគណនីថ្មី អ្នកអភិវឌ្ឍន៍បានព្យាយាមប្រើឡើងវិញនូវពាក្យសម្ងាត់ដែលត្រូវបានសម្របសម្រួលដែលបានបង្ហាញខ្លួននៅក្នុង ការលេចធ្លាយពាក្យសម្ងាត់ដែលគេស្គាល់។ ក្នុងអំឡុងពេលពិនិត្យសុវត្ថិភាពពាក្យសម្ងាត់ 12% នៃគណនី NPM (13% នៃកញ្ចប់) ត្រូវបានចូលប្រើប្រាស់ដោយសារតែការប្រើប្រាស់ពាក្យសម្ងាត់ដែលអាចទាយទុកជាមុនបាន និងមិនសូវសំខាន់ដូចជា "123456"។ ក្នុងចំណោមបញ្ហាទាំងនោះមានគណនីអ្នកប្រើប្រាស់ចំនួន 4 ពីកញ្ចប់ពេញនិយមបំផុតទាំង 20 ដែលមាន 13 គណនីដែលមានកញ្ចប់ទាញយកច្រើនជាង 50 លានដងក្នុងមួយខែ 40 ដែលមានការទាញយកច្រើនជាង 10 លានដងក្នុងមួយខែ និង 282 ដែលមានការទាញយកច្រើនជាង 1 លានដងក្នុងមួយខែ។ ដោយគិតពីការផ្ទុកម៉ូឌុលតាមខ្សែសង្វាក់នៃភាពអាស្រ័យ ការសម្របសម្រួលនៃគណនីដែលមិនគួរឱ្យទុកចិត្តអាចប៉ះពាល់ដល់រហូតដល់ 52% នៃម៉ូឌុលទាំងអស់នៅក្នុង NPM ។

ប្រភព: opennet.ru