شاخص بسته‌های پایتون (PyPI) سیستم جدیدی به نام «بایگانی پروژه» (Project Archival) را معرفی کرده که به ناشران امکان بایگانی کردن پروژه‌هایشان را می‌دهد تا به کاربران اطلاع دهند که انتظار به‌روزرسانی نداشته باشند. این پروژه‌ها همچنان در PyPI میزبانی می‌شوند و کاربران می‌توانند آن‌ها را دانلود کنند، اما هشداری درباره وضعیت نگهداری مشاهده خواهند کرد تا بتوانند تصمیمات آگاهانه‌ای درباره وابستگی‌هایشان بگیرند.
این ویژگی جدید با هدف بهبود امنیت زنجیره تأمین (supply-chain) طراحی شده، زیرا هک کردن حساب‌های توسعه‌دهندگان و ارسال به‌روزرسانی‌های مخرب به پروژه‌های پرکاربرد اما رها شده، سناریوی رایجی در فضای متن‌باز محسوب می‌شود. بر اساس گزارش TrailofBits که توسعه‌دهنده این سیستم است، نگهدارندگان می‌توانند پروژه‌هایشان را در هر زمان از بایگانی خارج کنند و برنامه‌هایی برای افزودن وضعیت‌های بیشتری مانند «منسوخ شده» (deprecated) و «بدون نگهداری» (unmaintained) وجود دارد. این سیستم شفافیت در نگهداری پروژه‌های متن‌باز را بهبود می‌بخشد و از حملات احیای هایجک (Revival Hijack) که مهاجمان پروژه‌های رها شده را تصاحب می‌کنند، جلوگیری می‌کند.
کلمات کلیدی : PyPI, بایگانی پروژه, پایتون, امنیت زنجیره تأمین, متن‌باز, هایجک
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.