Trojan Source

[beldmit]

Каждой атаке положен официальный сайт. Вот, например.

Если использовать уникодные символы управления направлением вывода текста (слева направо интерпретировать кусок текста или справа налево), то можно добиться эффекта, когда человек, который ревьюит pull-request, увидит одно, а компилятор - совсем другое.

Comments

[juan_gandhi]

Чудесно! Непонятно, что делать.

[beldmit]

Ну вот Rust требует заменить невидимые символы на escape-последовательности: https://blog.rust-lang.org/2021/11/01/cve-2021-42574.html#mitigations

[juan_gandhi]

Обидно вообще-то. Нестыковка веба и консолей с компиляторами.

[yurikhan]

Это неполиткорректное решение. Оно запрещает строковые литералы и комментарии, содержащие смешанный LTR/RTL текст.

[livelight]

Очевидно же: запретить арабам, евреям и другим правоналевопишущим писать в коде комментарии на своём языке. А то они так и сишный код задом наперёд начнут писать и читать, с них станется!

Про гомоглифы смешно. Зачем писать в каком-нибудь npm-пакете, который импортируют, не глядя, функцию "sayHello" с кириллической буквой "Н", если можно писать что попало и с латинской "H", всё равно импортирующие это тот код не читают.

[permeakra]

Требовать исходники с комментариями в ASCII, вынося весь юникод в ресурсы.

[juan_gandhi]

Не всегда в аски получается. Вот если китайцы пишут, например. Или примеры разноязычные.

[permeakra]

ИМХО, проще Бить по башке, пока не получится. Юникод - это тот случай, когда хотели как лучше, а получилось как всегда, там всегда проблемы будут.

[alexkuklin]

а за русскоязычные каменты сразу волчий билет

[juan_gandhi]

Я помню, давно, студентом, я писал комменты на нескольких языках. Коми, испанский - ну чисто для упражнения. Очень быстро забывалось, вообще о чем это.

[gegmopo4]

Да, в закрытых рассылках обсуждалось с июля. Пока что решение — улучшать тулзы (линтеры, редакторы, вьюверы) и быть внимательнее при приёме патчей содержащих не-ASCII. Со временем будут ограничения в спецификациях языков. Интересно, но не критично.

[beldmit]

Рекомендация быть внимательнее при работе с невидимыми символами нулевой ширины выглядит как издевательство.

[yurikhan]

Ну не совсем. Например, на сайте нарисован кусок кода зелёным по чёрному, но в реальности псевдо-if проверки на админовость будет покрашен в серый курсив, как положено комментариям.