ბოლო თვეების განმავლობაში ღია კოდის პროგრამულ უზრუნველყოფაზე თავდასხმების ტალღამ იმატა. პრობლემამ PHP-ს ეკოსისტემასაც მიაღწია, სადაც ჰაკერები იპარავენ GitHub-ის წვდომის ტოკენებს და ცდილობენ მავნე კოდის შემცველი პაკეტების გავრცელებას. ყველაზე ხმაურიანი ინციდენტები laravel-lang-ისა და intercom/intercom-php-ს გარშემო განვითარდა.

უსაფრთხოების ახალი სტანდარტები

Packagist.org-ის გუნდი საპასუხოდ უკვე იყენებს Aikido-ს მავნე კოდის დეტექციას, რაც მომხმარებლებს პოტენციური საფრთხის შესახებ დაუყოვნებლივ აფრთხილებს. თუმცა, მიზანი რეაგირების ნაცვლად პრევენციაზე გადასვლაა.

მთავარი სიახლე მრავალფაქტორიანი ავტორიზაციის (MFA) სავალდებულო ხასიათის მიღებაა. უახლოეს მომავალში პაკეტების მომვლელების MFA სტატუსი საჯარო გახდება, რაც დეველოპერებს საშუალებას მისცემს, უფრო ინფორმირებული გადაწყვეტილება მიიღონ პაკეტების არჩევისას.

Composer 2.10 და ცვლილებები

ამ კვირაში გამოსული Composer 2.10 უსაფრთხოების ახალ მექანიზმებს ნერგავს. მათ შორის ყველაზე მნიშვნელოვანია „დამოკიდებულების პოლიტიკა“ (dependency policies), რომელიც ერთიან ჩარჩოში მოაქცევს დაუცველობის შესახებ შეტყობინებებსა და მავნე პაკეტების იდენტიფიცირებას.

ასევე, იგეგმება „გამოშვების მინიმალური ასაკის“ პოლიტიკა. ეს ნიშნავს, რომ Composer უარს იტყვის ახლახან გამოქვეყნებული ვერსიების ინსტალაციაზე, რადგან მავნე კოდის შემცველი პაკეტები ხშირად სწორედ გამოქვეყნებიდან რამდენიმე საათში ვლინდება.

უსაფრთხოების გამჭვირვალობა

Packagist.org-ის გამჭვირვალობის ჟურნალი უკვე აქტიურად გამოიყენება თავდასხმების კვალის გამოსაკვლევად. გერმანიის Sovereign Tech Agency-ს მიერ დაფინანსებული პროექტი საშუალებას იძლევა, დეტალურად აღირიცხოს პაკეტების მფლობელობის ცვლილებები და ვერსიების მანიპულაციები.

უახლოეს თვეებში ამ ჟურნალს დაემატება MFA-სთან დაკავშირებული მოვლენებიც. ეს ნაბიჯი ეკოსისტემას უბიძგებს, უსაფრთხოება პრიორიტეტად აქციოს. გუნდი ასევე მუშაობს FIDO2-ის მხარდაჭერაზე, რაც საბოლოოდ ყველა ანგარიშისთვის მრავალფაქტორიანი დაცვის სავალდებულო მოთხოვნას დააწესებს.

ორგანიზაციებს, რომლებიც საერთო ანგარიშებს იყენებენ, რეკომენდაციას აძლევენ, დროულად გადავიდნენ ინდივიდუალურ ანგარიშებზე. უახლოეს პერიოდში დაგეგმილია „ორგანიზაციული პაკეტის მფლობელობის“ ფუნქციონალის დამატება, რაც უსაფრთხოების დაცვით გაამარტივებს წვდომის მართვას.