Pažljivo prodiranje zlonamjernog koda u NPM biblioteku

Službeni logotip NPM-a © NPM

Upravitelj paketa čvorova ( NPM ) prvi je put uspostavljen 2009. godine kako bi olakšao dijeljenje koda između programera JavaScript programa nadaleko i naširoko. Ideja je bila da umjesto da se natječu za izgradnju programa, pružanje resursa otvorenog koda poput NPM biblioteke može omogućiti razvoj iznad onoga što je već razvijeno, tako da u grandioznijoj shemi stvari razvoj programa može doseći nove visine. NPM je 2014. pretvoren u tvrtku koja je potaknula istu viziju, a tvrtka je sada domaćin zapanjujućem registru s preko 700 000 kodova i paketa koji se mogu slobodno i odgovorno koristiti za razvoj bilo čega za uređaje, aplikacije, robote i mnoge druge više.

Prema NPM CTO Silverio, preko noći između 11^thi 12^thsrpnja se dogodio zlonamjerni napad na NPM poslužitelj gdje je haker uspio dobiti pristup računu razvojnog programera i upotrijebiti vjerodajnice programera za puštanje promašene verzije biblioteke eslint-scope, eslint-scope 3.7.2, koju je hakirani pojedinac bio je odgovoran za održavanje. Srećom, ubrzo je primijećena nova generacija generacija i učinjeni su napori da se promjena ograniči i poništi. Od tada, u temeljitom istraga Otkriveno je da je zlonamjernom kodu dana mogućnost snimanja NPM vjerodajnica drugih programera kada ih njihovi programi koriste. Stoga se zajednici koja koristi NPM otvoreni izvorni kod savjetuje da promijeni sve vjerodajnice računa i izbaci ovu NPM knjižnicu iz svojih projekata ako je upotrijebljena.

Unatoč velikom broju preuzimanja tjedno u trendu za paket ESLint, rečeno je da nije primijećena zlonamjerna aktivnost sa 4500 računa koji su bili izravno pogođeni da bi ih kompromitirala faux verzija koda. Mnogo je tokena još uvijek opozvano kako bi se izbjeglo daljnje miješanje registra i daljnje širenje zaraženog paketa opsega eslint. Korisnici su također pozvani u službenoj izjavi CJ Silverio da koriste postojeću dvofaktorsku autentifikaciju kako bi spriječili da se takva zlonamjerna potiskivanja događaju u budućnosti.

Nakon svakog takvog napada otvorenog koda na kôd, zajednica programera vraća se korak unatrag u strahu, ali u raznim objavama na blogovima i uvodnicima nastalim na tehnološkoj zajednici od zlonamjernog napada, programeri se potiču da hrabro drže takve incidente kako bi se čvrsto držali integritet s kojim su otvorene knjižnice stvorene u korist svih programera. Korisnici NPM-a pozivaju se da nastave dalje i poštuju duh s kojim je projekt otvorenog koda u početku uspostavljen. Ako korisnici zaposle sve sigurnosne mjere pod uvjetom da čuvaju knjižnice, napad poput ovog neće se više ponoviti.