Опять про атаку на Supply chain

[beldmit]

Если кто не видел.

Проекты тянут внешние (по отношению к проекту) зависимости. Из внешних репозиториев и из внутренних. Сначала - из внешних. И если злоумышленник сможет подсунуть во внешний репозиторий что-то с именем, перекрывающим имя внутреннего, то именно его код и приедет на сервера.

Выявившие проблему исследователи смогли выполнить свой код на внутренних серверах 35 компаний, среди которых PayPal, Micrоsoft, Apple, Netflix, Uber, Tesla и Shopify.

Comments

[livelight]

Это им за left-pad! :)

[juan_gandhi]

В Гугле был у меня экспириенс с такой херней. Кушать не хотел. За что, в частности, и выперли.

[livelight]

В смысле, вы пытались бороться с практикой качать какой попало код откуда ни попадя и запускать у себя?

[juan_gandhi]

Там было так. За каким-то хреном надо было в продакшен, в джаваскрипт, вставить дебагер (тогда в браузерах ни хрена не было вроде бы). Мне сказали - вон на таком-то сайте есть, вставь линк. На чужой скрипт. В продакшен. Я такой - чо. Скачал тот скрипт к нам в репо, получил апрувал, закоммитил, стал билдить. То да се, это ж гугл, сутки прошли, если не двое. А мне эти такие - ты чо, ты ж мог просто линк вставить. <script language="javascript"...> А я такой - чо? Написал в секьюрити, мол, нельзя ли провести ликбез. Секьюрити меня послало (не по чину обращаюсь), начальство мне пеняло до самого выгоняния, что я не час потратил, а больше суток на такую мелочь. Я так понимаю сейчас, что все эти люди были очень тупые, но со связями. Секьюрити, за полгода до того, рассказывало, какой антивирус самый хороший, и всем надо его ставить. Понятно какой, да.

Короче... вот такая фигня.

[livelight]

А какой? Мне непонятно :)

[juan_gandhi]

Касперский. Я им говорю, мол, "это же разработка КГБ" - не понимают.

[livelight]

Однако, как-то они захватили весь интернет (ну ладно, пол интернета: вторую половину поделили CloudFlare и иже с ними)... Я так понимаю - умело паразитируя на паразитах: продавая хреновую (с т.з. рекламодателя) рекламу тем, кто хочет заваливать всех рекламой.

[juan_gandhi]

Как-то захватили. Фокусировались на важных вещах.

[vitus_wagner]

Помнится какие-то конгрессмены уже пытались задать руководству Гугла вопрос "А почему это Гугл сотрудничает с Коммунистической Партией Китая с большим энтузиазмом, чем с Министерством обороны США?".

Ну КГБ, ну и что? Зачем компании бизнес которой построен на воровстве персональных данных, хранить чужие секреты от КГБ? Разве что из соображений слупить с КГБ денег за них. Но тут американское законодателсьтво немного мешает.

[juan_gandhi]

Резонно. Прятаться надо от конкурентов, а не от партнеров.

[dimez.livejournal.com]

Какой-то ужас ужасный...
Эдак любой дятел может разрушить цивилизацию.