PyPI въвеждат система, която да предотврати атаките към веригите за доставка

Атаките към веригите за доставка са едни от най-трудните за засичане и овладяване. В последните години бяхме свидетели на множество такива. Примери са тези към MOVEit Transfer, SolarWinds, MeDoc и NotPetya. Проблемът с този тип атаки е, че идват от традиционно доверени и надеждни среди, което приспива бдителността на жертвите и специалистите по киберсигурност. Особено опасни са атаките, които използват остарял или неподдържан код. Каквито бяха случаите при Pollyfil.io и Log4j.

Хората, поддържащи популярното хранилище за код Python Package Index (PyPI) знаят това и наскоро са взели мерки в тази посока. Администриращите хранилището са представили Project Archival. Това е нова система, която позволява на разработчиците да архивират проектите си, с което уведомяват, че актуализации по тях не се предвиждат в бъдеще.

Проектите ще останат достъпни в PyPI, но тези, които ги свалят ще виждат предупреждение, уведомяващо ги за състоянието им и техните зависимости. Това би предотвратило множество случаи, в които акаунти в хранилището се превземат и хакери публикуват от чуждо име зловредни актуализации.

TrailofBits, създатели на новата система, осигуряват на собствениците на хранилища статус, който могат да контролират и маркират сами проектите за архивирани. От PyPI съветват избралите да архивират проектите си да включат обяснение за причината за действието си. Ако поискат да разархивират проекта си, те ще могат да го направят по всяко едно време. От секцията с настройки авторите на проекта ще намерят бутон „Архивирай проекта“. Това автоматично ще обнови метаданните на платформата с цел отразяване на новия статут на хранилището.

Самите TrailofBits възнамеряват да въведат и други статуси в бъдеще. Те ще включват етикети, като „неподдържано“, „завършено, като характеристики“ и др.