PyPI អនុវត្តសមត្ថភាពក្នុងការបោះផ្សាយកញ្ចប់ដោយមិនភ្ជាប់ទៅនឹងពាក្យសម្ងាត់ និងនិមិត្តសញ្ញា API

ឃ្លាំង PyPI (Python Package Index) នៃកញ្ចប់ Python ផ្តល់លទ្ធភាពប្រើប្រាស់វិធីសាស្ត្រសុវត្ថិភាពថ្មីសម្រាប់ការបោះពុម្ពកញ្ចប់ ដែលអនុញ្ញាតឱ្យអ្នកជៀសវាងការរក្សាទុកពាក្យសម្ងាត់ថេរ និងសញ្ញាសម្ងាត់ចូលប្រើ API នៅលើប្រព័ន្ធខាងក្រៅ (ឧទាហរណ៍នៅក្នុងសកម្មភាព GitHub) ។ វិធីសាស្ត្រផ្ទៀងផ្ទាត់ថ្មីត្រូវបានគេហៅថា 'អ្នកបោះពុម្ពផ្សាយដែលជឿទុកចិត្ត' ហើយត្រូវបានរចនាឡើងដើម្បីដោះស្រាយបញ្ហានៃការបោះពុម្ពផ្សាយព័ត៌មានថ្មីៗដែលមានគំនិតអាក្រក់ដែលត្រូវបានអនុវត្តជាលទ្ធផលនៃការសម្របសម្រួលប្រព័ន្ធខាងក្រៅ និងពាក្យសម្ងាត់ដែលបានកំណត់ជាមុន ឬសញ្ញាសម្ងាត់ធ្លាក់ចូលទៅក្នុងដៃរបស់អ្នកវាយប្រហារ។

វិធីសាស្ត្រផ្ទៀងផ្ទាត់ថ្មីគឺផ្អែកលើស្តង់ដារ OpenID Connect (OIDC) ដែលប្រើសញ្ញាសម្គាល់ការផ្ទៀងផ្ទាត់ពេលវេលាកំណត់ដែលបានផ្លាស់ប្តូររវាងសេវាកម្មខាងក្រៅ និងថត PyPI ដើម្បីធ្វើសុពលភាពប្រតិបត្តិការបោះពុម្ពកញ្ចប់ ជំនួសឱ្យការប្រើការចូល/ពាក្យសម្ងាត់បែបប្រពៃណី ឬការចូលប្រើ API ជាប់លាប់ដែលបានបង្កើតដោយដៃ សញ្ញាសម្ងាត់។ លទ្ធភាពប្រើប្រាស់យន្តការអ្នកបោះពុម្ពផ្សាយដែលជឿទុកចិត្តបានត្រូវបានអនុវត្តរួចហើយសម្រាប់អ្នកដោះស្រាយដែលបានចាប់ផ្តើមនៅក្នុងសកម្មភាព GitHub ។ ការគាំទ្រអ្នកបោះពុម្ពដែលជឿទុកចិត្តសម្រាប់សេវាកម្មខាងក្រៅផ្សេងទៀតត្រូវបានគេរំពឹងថានឹងត្រូវបានអនុវត្តនាពេលអនាគត។

អ្នកថែទាំអាចកំណត់ការជឿទុកចិត្តលើផ្នែក PyPI សម្រាប់ការកំណត់អត្តសញ្ញាណដែលផ្តល់ទៅឱ្យអ្នកផ្តល់សេវា OpenID ខាងក្រៅ (IdP, OpenID Connect Identity Provider) ដែលសេវាកម្មខាងក្រៅនឹងប្រើប្រាស់ដើម្បីស្នើសុំនិមិត្តសញ្ញារយៈពេលខ្លីពី PyPI ។ សញ្ញាសម្ងាត់ OpenID Connect ដែលត្រូវបានបង្កើតផ្ទៀងផ្ទាត់ទំនាក់ទំនងរវាងគម្រោង និងកម្មវិធីគ្រប់គ្រង ដែលអនុញ្ញាតឱ្យ PyPI ធ្វើការផ្ទៀងផ្ទាត់ទិន្នន័យមេតាបន្ថែម ដូចជាការផ្ទៀងផ្ទាត់ថាកញ្ចប់ដែលបានបោះផ្សាយមានទំនាក់ទំនងជាមួយឃ្លាំងជាក់លាក់មួយ។ ថូខឹនមិនត្រូវបានរក្សាទុកទេ ត្រូវបានភ្ជាប់ទៅនឹង APIs ជាក់លាក់ និងផុតកំណត់ដោយស្វ័យប្រវត្តិបន្ទាប់ពីរយៈពេលខ្លី។

លើសពីនេះទៀត អ្នកអាចកត់សម្គាល់របាយការណ៍ពី Sonatype ជាមួយនឹងព័ត៌មានអំពីការកំណត់អត្តសញ្ញាណកញ្ចប់ព្យាបាទចំនួន 2023 នៅក្នុងកាតាឡុក PyPI ក្នុងខែមីនា ឆ្នាំ 6933។ សរុបមក ចាប់តាំងពីឆ្នាំ 2019 មក ចំនួនកញ្ចប់ព្យាបាទដែលបានកំណត់នៅក្នុង PyPI មានលើសពី 115 ពាន់។ កញ្ចប់ព្យាបាទភាគច្រើនត្រូវបានក្លែងធ្វើជាបណ្ណាល័យដ៏ពេញនិយមដោយប្រើ typosquatting (ផ្តល់ឈ្មោះស្រដៀងគ្នាដែលខុសគ្នានៅក្នុងតួអក្សរនីមួយៗ ឧទាហរណ៍ ឧទាហរណ៍ ជំនួសឱ្យឧទាហរណ៍ djangoo ជំនួសឱ្យ django pyhton ជំនួសឱ្យ python ។ល។) - អ្នកវាយប្រហារពឹងផ្អែកលើអ្នកប្រើប្រាស់ដែលមិនយកចិត្តទុកដាក់ដែលបានបង្កើត typo ឬអ្នកដែលកត់សម្គាល់ភាពខុសគ្នានៃឈ្មោះនៅពេលស្វែងរក។ សកម្មភាពព្យាបាទជាធម្មតាកើតឡើងចំពោះការផ្ញើទិន្នន័យសម្ងាត់ដែលបានរកឃើញនៅលើប្រព័ន្ធមូលដ្ឋាន ជាលទ្ធផលនៃការកំណត់អត្តសញ្ញាណឯកសារធម្មតាដែលមានពាក្យសម្ងាត់ សោចូលប្រើ កាបូបលុយគ្រីប ថូខឹន វគ្គខូឃី និងព័ត៌មានសម្ងាត់ផ្សេងទៀត។

ប្រភព: opennet.ru