گیت‌هاب (GitHub) و فهرست بسته‌های پایتون (PyPI) با هدف مقابله با حملات زنجیره تأمین (supply-chain attacks)، سازوکارهای جدیدی را در ابزار مدیریت وابستگی دیپندابات (Dependabot) معرفی کرده‌اند. بر اساس این تغییرات، دیپندابات اکنون به‌صورت پیش‌فرض یک دوره تأخیر ۷۲ ساعته برای به‌روزرسانی بسته‌ها اعمال می‌کند تا از پذیرش خودکار بسته‌های مخرب تازه‌منتشرشده جلوگیری شود؛ کاربران همچنان می‌توانند این بازه زمانی را از طریق گزینه پیکربندی «cooldown» تنظیم کنند. در همین راستا، PyPI نیز اعلام کرد که از این پس بارگذاری فایل‌های جدید به نسخه‌های بسته‌هایی که بیش از ۱۴ روز از انتشارشان گذشته، مسدود خواهد شد تا از مسموم‌سازی نسخه‌های قدیمی و مورداعتماد جلوگیری به عمل آید.
این اقدامات پس از وقوع چندین حمله پرسروصدا در اکوسیستم‌های توسعه‌نرم‌افزار طی سال گذشته صورت می‌گیرد؛ از جمله حملات «chalk» و «debug»، عملیات «s1ngularity»، کمپین «Shai-Hulud» و حمله زنجیره تأمین «GhostAction». گیت‌هاب تأکید کرده که دوره سه‌روزه به‌عنوان نقطه تعادل میان پرهیز از نسخه‌های پرخطر و به‌روز ماندن با آخرین به‌روزرسانی‌ها انتخاب شده است. PyPI نیز اذعان کرده که هیچ حمله شناخته‌شده‌ای تاکنون از تکنیک مسموم‌سازی نسخه‌های قدیمی استفاده نکرده، اما این پلتفرم به‌صورت پیشگیرانه برای مسدود کردن این احتمال خطرناک اقدام کرده است.
کلمات کلیدی : حملات زنجیره تأمین, امنیت PyPI, دیپندابات گیت‌هاب, مدیریت وابستگی پایتون, بسته‌های مخرب نرم‌افزار, امنیت اکوسیستم توسعه نرم‌افزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.