Менеджеры пакетов: рай для разработчика, ад для безопасности

Вы когда-нибудь задумывались, что ваш package manager — это не просто удобный инструмент, а потенциальный чёрный ход для злоумышленников? Новый отчёт от Nesbitt.io описывает общие слабости (CWEs) в менеджерах пакетов, и это выглядит как список грехов на исповеди разработчика.

Что не так с зависимостями?

Исследователи выделили несколько типичных проблем:

• Недостаточная проверка целостности пакетов — вы уверены, что скачали именно тот код, который задумали? Спойлер: не всегда.
• Спуфинг пакетов — когда вредоносная библиотека маскируется под популярную, как оборотень в овечьей шкуре.
• Отсутствие подписей — если пакет не подписан, любой может подсунуть вам троян под видом lodash.

Почему это больно?

Каждый раз, когда вы запускаете npm install или pip install, вы доверяете цепочке поставок. Но, как показала практика, доверие — это хорошо, а верификация — лучше. Особенно если вы не хотите проснуться с уведомлением о взломе CI/CD.

Как защититься?

1. Используйте lock-файлы (package-lock.json, Pipfile.lock) — они фиксируют версии и хеши.
2. Проверяйте подписи пакетов, если менеджер это поддерживает.
3. Следите за CVE и обновлениями — старые зависимости как дырявый зонтик.

Комментарий студии METABYTE: Мы тоже любим npm install без оглядки, но после этого отчёта решили добавить в CI проверку подписей. Хотя бы ради того, чтобы не объяснять клиенту, почему его продакшн — это ботнет.