Pakete kopiatzaileak eta typosquatting kontzeptu erlazionatuak diren arren, ez dira berdinak. Bietako batek taktika engainagarriak erabiltzen ditu erabiltzaileak software gaiztoa deskargatzera engainatzeko, baina modu apur bat desberdinetan egiten dute. Hona hemen bakoitzaren azalpen zehatza:
Typosquatting
Typosquatting-ak domeinu-izenak edo pakete-izenak erregistratzea dakar, zilegi diren domeinu-izenak oso antzekoak direnak, askotan akats tipografiko batengatik bakarrik desberdintzen direnak. Helburua URL bat edo pakete-izen bat idaztean akatsak egiten dituzten erabiltzaileak engainatzea da, nahi ziren gune edo software gaiztoetara eramanez, zilegi diren guneetara eramanez.
Adibidea:
Pakete legitimoa: adierazteko.
Typosquatted pakete aldaerak: express ('s' bat falta da), adierazten du(gehigarrizko 's'-ak), or adierazi ('e' bikoitza).
Benetako kasuetako Typosquatting-a:
2018ko azaroan, segurtasun-ikertzaileek flatmap-stream izeneko JavaScript pakete gaizto bat identifikatu eta kendu zuten NPM ekosistematik. Erasotzaile batek aldaketa gaiztoa sartu zuen pakete honetan, eta gero event-stream pakete ezagunaren menpekotasun zuzen gisa gehitu zuen. Erabiltzaileek ia 8 milioi aldiz deskargatu dute flatmap-stream-en bertsio gaizto hau.Kaltetutako gertaeren jario paketea erabili zuten garatzaileek nahi gabe kode gaiztoaren eraginpean jarri ziren.
Hemen, arreta akats ortografiko txikietan edo idazketa-errore ohikoenetan jartzen da.
Imitazio paketeak
Imitazio paketeek pakete gaiztoak sortzea dakartzate, ezagunak eta zilegiak direnak imitatzen dituztenak. Bereziki, imitazio horrek akats ortografiko txikiak baino haratago joan daiteke eta antzeko izenak, deskribapenak, dokumentazioa eta funtzionalitatea ere izan ditzake, pakete gaiztoa zilegi eta fidagarria agertzeko.
Adibidea:
Pakete legitimoa: lodash
Imitazio pakete aldaerak: lodashjs, lodash-tresnak, edo izen berdina duen baina egile desberdin batek gordeleku ez hain seguru batean igotako pakete bat ere bai
Mundu errealeko kasua:
Demagun laravel-realworld-example-app izeneko PHP-n oinarritutako Laravel aplikazio ezaguna. Aplikazio honek RealWorld API espezifikazioaren benetako adibideak ditu (CRUD eragiketak, autentifikazioa, eredu aurreratuak, etab.). Pakete legitimoak erreferentzia gisa balio duen arren, kopia-pakete batek imitatu dezake antzeko izen bat erabiliz (adibidez, laravel-realworld-example-apps edo laravel-realworld-examples). Pakete kopiatzaile horiek funtzionalitate, deskribapen eta baita dokumentazio antzekoak izan ditzakete, garatzaileak engainatuz benetako bertsioaren ordez erabiltzera.
Hemen arreta imitazio zabalago batean dago, izenak ez ezik, pakete legitimoaren aurkezpenaren eta funtzionaltasunaren alderdiak ere barne hartzen dituena.
Funtsezko desberdintasunak
Fokatu:
Typosquatting-ak batez ere erabiltzaileek egindako akats tipografikoak konpontzen ditu.
Pakete imitatzaileek pakete legitimoak imitatzea dute helburu, antzeko izenak, deskribapenak eta funtzionalitateak barne hartuta.
Imitazioaren esparrua:
Typosquatting-ak normalean paketearen izenean aldaketa txikiak dakartza.
Imitazio paketeek imitazio zabalagoa izan dezakete, are sinesgarriagoak izan daitezen.
Teilakatzearen
Bi kontzeptuen arteko gainjartze bat dago, typosquatted paketeak kopia-paketeen azpimultzotzat har daitezkeelako. Bi taktiken helburua erabiltzaileak engainatzea da software gaiztoa instalatzera bultzatzeko, baina typosquatting-ak idazketa-akats ohikoenak ustiatzen ditu, kopia-paketeek imitazio-estrategia sorta zabalagoa erabil dezaketen bitartean.
Arintzeko estrategiak
Typosquatting eta kopiatze paketeen aurka modu eraginkorrean babesteko, erakundeek alderdi anitzeko ikuspegi bat hartu beharko lukete, estrategia tradizionalak eta gure bezalako irtenbide aurreratuak integratzen dituena. XigenoaOpen Source Security Irtenbidea. Hona hemen arrisku horiek arintzeko estrategia nagusiak:
- Erabili iturri fidagarriakLehenik eta behin, deskargatu beti paketeak iturri fidagarri eta egiaztatuetatik edo biltegi ofizialetatik benetakotasuna bermatzeko.
- Mendekotasunen finkatzeaGainera, lotu mendekotasunak bertsio egiaztatu eta espezifikoetara, zure inplementazioetan koherentzia eta segurtasuna mantentzeko.
- Tresna automatizatuakGainera, erabili Xygeni bezalako tresna automatizatuak pakete susmagarriak modu eraginkorrean eskaneatu eta markatzeko. Xygeniren detekzio gaitasun aurreratuak mendekotasun susmagarriak modu eraginkorrean identifikatu eta kudeatzeko diseinatuta daude, eta horrela segurtasun geruza gehigarri bat eskaintzen dute.
- Eskuzko egiaztapenaGainera, osatu tresna automatizatuak eskuzko egiaztapenarekin, batez ere gehitu berri diren paketeetarako edo eguneratze garrantzitsuak izan berri dituztenetarako.
- Izen-espazioaren erreserbaGaiztoek bahitzea saihesteko, erregistratu eta kontrolatu izen-espazioko paketeak biltegi publikoetan. Neurri proaktibo honek zure erakundearen izen-espazioarekin baimendutako eguneratzeak eta paketeak soilik lotzen direla ziurtatzen du.
Estrategia hauek gure Xygeni tresnen gaitasun sendoekin integratuz, erakundeek typosquatting-aren eta kopiatze-paketeen mehatxu ebolutiboen aurkako defentsak sendotu ditzakete, software-hornikuntza-katearen segurtasun orokorra hobetuz.
