Zhvilluesit sot shkruajnë një pjesë të vogël të kodit që u shkon përdoruesve. Pjesa tjetër vjen nga qindra varësi të palëve të treta, dhe pikërisht aty po zhvendoset sulmi.

Si funksionon sulmi

Sulmuesi nuk përpiqet të thyejë aplikacionin tuaj. Ai kompromenton diçka që ju e importoni me besim.

Metodat më të zakonshme

Marrja e llogarisë së mirëmbajtësit të një pakete popullore
Typosquatting — një paketë me emër pothuajse identik me atë të vërtetën
Injektimi i kodit në një hap të pipeline-it CI/CD
Zëvendësimi i një artifakti në një regjistër privat me version më të lartë publik

Pse është efektiv

Kodi hyn përmes një kanali të besuar. Skanuesit shohin një varësi legjitime, jo një ngarkesë të huaj.

Nuk ka rëndësi sa i sigurt është kodi juaj nëse npm install sjell diçka që ju nuk e keni lexuar kurrë.

Mbrojtja për ekipe të vogla

Përdorni lockfile dhe mos e rigjeneroni pa shqyrtim
Fiksoni versionet e imazheve në Docker, jo latest
Aktivizoni skanim automatik të varësive në CI
Kufizoni lejet e token-ave të publikimit
Rishikoni çdo varësi të re para se të hyjë në projekt