PyPI ຢຸດເຊົາການລົງທະບຽນຜູ້ໃຊ້ໃຫມ່ແລະໂຄງການເນື່ອງຈາກກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ

Python package repository PyPI (Python Package Index) ໄດ້ຢຸດການລົງທະບຽນຜູ້ໃຊ້ ແລະໂຄງການໃໝ່ຊົ່ວຄາວ. ເຫດຜົນທີ່ໄດ້ຮັບແມ່ນການເພີ່ມຂຶ້ນຂອງກິດຈະກໍາໂດຍຜູ້ໂຈມຕີທີ່ໄດ້ເລີ່ມຕົ້ນການເຜີຍແຜ່ຊຸດທີ່ມີລະຫັດທີ່ເປັນອັນຕະລາຍ. ມັນໄດ້ຖືກສັງເກດເຫັນວ່າ, ເນື່ອງຈາກຄວາມຈິງທີ່ວ່າຜູ້ບໍລິຫານຫຼາຍຄົນໄດ້ພັກຜ່ອນ, ໃນອາທິດທີ່ຜ່ານມາ, ປະລິມານໂຄງການທີ່ເປັນອັນຕະລາຍທີ່ໄດ້ລົງທະບຽນເກີນຄວາມສາມາດຂອງທີມງານ PyPI ທີ່ຍັງເຫຼືອເພື່ອຕອບສະຫນອງຢ່າງໄວວາ. ນັກພັດທະນາວາງແຜນທີ່ຈະສ້າງຂະບວນການກວດສອບບາງຢ່າງຄືນໃຫມ່ໃນທ້າຍອາທິດ, ແລະຫຼັງຈາກນັ້ນໃຫ້ຄວາມສາມາດໃນການລົງທະບຽນກັບ repository.

ອີງຕາມລະບົບການຕິດຕາມກິດຈະກໍາທີ່ເປັນອັນຕະລາຍຈາກ Sonatype, ໃນເດືອນມີນາ 2023, 6933 ແພັກເກັດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກພົບເຫັນຢູ່ໃນລາຍການ PyPI, ແລະໃນຈໍານວນທັງຫມົດ, ນັບຕັ້ງແຕ່ 2019, ຈໍານວນແພັກເກັດທີ່ເປັນອັນຕະລາຍທີ່ກວດພົບໄດ້ເກີນ 115 ພັນ. ໃນເດືອນທັນວາ 2022, ເປັນຜົນມາຈາກການໂຈມຕີຢູ່ໃນໄດເລກະທໍລີ NuGet, NPM ແລະ PyPI, ການພິມເຜີຍແຜ່ 144 ພັນຊຸດທີ່ມີລະຫັດ phishing ແລະ spam ໄດ້ຖືກບັນທຶກໄວ້.

ແພກເກດທີ່ເປັນອັນຕະລາຍສ່ວນໃຫຍ່ຖືກປອມຕົວເປັນຫ້ອງສະຫມຸດທີ່ນິຍົມໃຊ້ typosquatting (ກໍານົດຊື່ທີ່ຄ້າຍຄືກັນທີ່ແຕກຕ່າງກັນໃນລັກສະນະສ່ວນບຸກຄົນ, ຕົວຢ່າງ, ຕົວຢ່າງ, ແທນທີ່ຈະເປັນຕົວຢ່າງ, django ແທນ django, pyhton ແທນ python, ແລະອື່ນໆ) - ຜູ້ໂຈມຕີອີງໃສ່ຜູ້ໃຊ້ທີ່ບໍ່ສົນໃຈຜູ້ທີ່ສ້າງ. typo ຫຼືບໍ່ໄດ້ສັງເກດເຫັນຄວາມແຕກຕ່າງໃນຊື່ໃນເວລາທີ່ຊອກຫາ. ການກະທໍາທີ່ເປັນອັນຕະລາຍມັກຈະມາເຖິງການສົ່ງຂໍ້ມູນລັບທີ່ພົບເຫັນຢູ່ໃນລະບົບທ້ອງຖິ່ນເປັນຜົນມາຈາກການກໍານົດໄຟລ໌ທົ່ວໄປທີ່ມີລະຫັດຜ່ານ, ກະແຈເຂົ້າເຖິງ, ກະເປົາເງິນ crypto, tokens, session Cookies ແລະຂໍ້ມູນລັບອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru