Թեև «copycat packages»-ը և «typosquatting»-ը կապված հասկացություններ են, դրանք նույնը չեն։ Երկուսն էլ ներառում են խաբուսիկ մարտավարություն՝ օգտատերերին խաբելու և վնասակար ծրագրեր ներբեռնելու համար, բայց դա անում են մի փոքր տարբեր ձևերով։ Ահա յուրաքանչյուրի մանրամասն բացատրությունը.
Typosquatting- ը
Տիպոսքվոթինգը ենթադրում է դոմեյնային անունների կամ փաթեթների անունների գրանցում, որոնք շատ նման են օրինական անուններին, որոնք հաճախ տարբերվում են ընդամենը մեկ տպագրական սխալով: Նպատակն է խաբել այն օգտատերերին, ովքեր սխալներ են թույլ տալիս URL-ը կամ փաթեթի անունը մուտքագրելիս՝ նրանց ուղղորդելով վնասակար կայքերի կամ ծրագրերի՝ նախատեսված օրինական անունների փոխարեն:
Example:
Օրինական փաթեթ: արտահայտել.
Typosquatted փաթեթի տարբերակներ: էքսպրես (բացակայում է «s»-ը), էքսպրեսներ(լրացուցիչ «s»), or արագընթաց (կրկնակի «ե»):
Իրական աշխարհի դեպքի Typosquatting:
2018 թվականի նոյեմբերին անվտանգության հետազոտողները NPM էկոհամակարգից հայտնաբերեցին և հեռացրին flatmap-stream անվամբ վնասակար JavaScript փաթեթը։ Հարձակվողը վնասակար փոփոխությունը ներմուծեց այս փաթեթի մեջ, ապա այն ավելացրեց որպես ուղղակի կախվածություն հայտնի event-stream փաթեթին։ Օգտատերերը flatmap-stream-ի այս վնասակար տարբերակը ներբեռնել են գրեթե 8 միլիոն անգամՄշակողները, որոնք օգտագործել են կոտրված իրադարձությունների հոսքի փաթեթը, պատահաբար ենթարկվել են վնասակար կոդի ազդեցությանը։
Այստեղ ուշադրությունը կենտրոնացած է աննշան ուղղագրական սխալների կամ տարբերակների վրա, որոնք օգտագործում են տարածված տպագրական սխալները։
Կեղծ փաթեթներ
Կեղծ փաթեթները ենթադրում են վնասակար փաթեթների ստեղծում, որոնք ընդօրինակում են հայտնի և օրինական փաթեթները: Մասնավորապես, այս նմանակումը կարող է անցնել աննշան ուղղագրական սխալներից այն կողմ և կարող է ներառել նաև նմանատիպ անուններ, նկարագրություններ, փաստաթղթեր և ֆունկցիոնալություն՝ վնասակար փաթեթը օրինական և վստահելի դարձնելու համար:
Example:
Օրինական փաթեթ: լոդաշ
Պատճենահանված փաթեթի տարբերակներ: lodashjs, lodash-գործիքներկամ նույնիսկ նույն անունով փաթեթ, որը վերբեռնվել է այլ հեղինակի կողմից ավելի քիչ անվտանգ պահոցում
Իրական աշխարհի դեպք.
Դիտարկենք PHP-ի վրա հիմնված հայտնի բաց կոդով Laravel հավելվածը, որը կոչվում է laravel-realworld-example-app: Այս հավելվածը պարունակում է RealWorld API սպեցիֆիկացիայի իրական աշխարհի օրինակներ (CRUD գործողություններ, նույնականացում, առաջադեմ օրինաչափություններ և այլն): Մինչդեռ օրինական փաթեթը ծառայում է որպես հղում, պատճենահանող փաթեթը կարող է ընդօրինակել այն՝ օգտագործելով նմանատիպ անուն (օրինակ՝ laravel-realworld-example-apps կամ laravel-realworld-examples): Նման կրկնօրինակ փաթեթները կարող են ներառել նմանատիպ ֆունկցիոնալություն, նկարագրություններ և նույնիսկ փաստաթղթեր՝ խաբելով մշակողներին՝ դրանք օգտագործելու համար՝ բնօրինակ տարբերակի փոխարեն։
Այստեղ ուշադրությունը կենտրոնացած է ավելի լայն իմիտացիայի վրա, որը ներառում է ոչ միայն անուններ, այլև օրինական փաթեթի ներկայացման և ֆունկցիոնալության ասպեկտներ։
Հիմնական տարբերությունները
Ֆոկուս.
Typosquatting-ը հիմնականում ուղղված է օգտատերերի կողմից թույլ տրված տպագրական սխալներին։
Կեղծ փաթեթները նպատակ ունեն ավելի լայնորեն ընդօրինակել օրինական փաթեթները, հնարավոր է՝ ներառելով նմանատիպ անուններ, նկարագրություններ և ֆունկցիոնալություն։
Իմիտացիայի շրջանակը.
Typosquatting-ը սովորաբար ներառում է փաթեթի անվանման աննշան փոփոխություններ։
Կեղծ փաթեթները կարող են ներառել ավելի համապարփակ իմիտացիա, ինչը դրանք ավելի համոզիչ կդարձնի։
Համընկնումը
Երկու հասկացությունների միջև կա համընկնում, քանի որ typosquatted փաթեթները կարող են համարվել կրկնօրինակ փաթեթների ենթախումբ: Երկու մարտավարություններն էլ նպատակ ունեն խաբել օգտատերերին՝ վնասակար ծրագրեր տեղադրելու համար, սակայն typosquatting-ը օգտագործում է տպագրության տարածված սխալները, մինչդեռ կրկնօրինակ փաթեթները կարող են օգտագործել իմիտացիայի ավելի լայն շրջանակի ռազմավարություններ:
Մեղմացման ռազմավարություններ
Տպագրական սխալներից և փաթեթների կրկնօրինակումից արդյունավետորեն պաշտպանվելու համար կազմակերպությունները պետք է որդեգրեն բազմակողմանի մոտեցում, որը կմիավորի ավանդական ռազմավարությունները և առաջադեմ լուծումները, ինչպիսիք են մերը։ ՔսիգենիOpen Source Security Լուծում: Ահա այս ռիսկերը մեղմելու հիմնական ռազմավարությունները.
- Օգտագործեք վստահելի աղբյուրներԱռաջին հերթին, փաթեթները միշտ ներբեռնեք վստահելի և ստուգված աղբյուրներից կամ պաշտոնական պահոցներից՝ իսկությունն ապահովելու համար։
- Կախվածության ամրացումԲացի այդ, կախվածությունները ամրացրեք որոշակի, ստուգված տարբերակների՝ ձեր տեղակայումների միջև հետևողականությունն ու անվտանգությունը պահպանելու համար։
- Ավտոմատացված գործիքներԱվելին, օգտագործեք ավտոմատացված գործիքներ, ինչպիսին է Xygeni-ն, կասկածելի փաթեթները արդյունավետորեն սկանավորելու և նշելու համար: Xygeni-ի առաջադեմ հայտնաբերման հնարավորությունները նախատեսված են կասկածելի կախվածությունները արդյունավետորեն նույնականացնելու և կառավարելու համար, այդպիսով ապահովելով անվտանգության լրացուցիչ շերտ:
- Ձեռքով ստուգումԱվելին, ավտոմատացված գործիքները լրացրեք ձեռքով ստուգմամբ, հատկապես նոր ավելացված կամ վերջերս զգալի թարմացումներ ստացած փաթեթների համար։
- Անվանատարածքի ամրագրումՉարամիտ անձանց կողմից առևանգումը կանխելու համար գրանցեք և վերահսկեք անվանատարածքի փաթեթները հանրային պահոցներում: Այս կանխարգելիչ միջոցը ապահովում է, որ ձեր կազմակերպության անվանատարածքի հետ կապված լինեն միայն լիազորված թարմացումները և փաթեթները:
Այս ռազմավարությունները մեր Xygeni գործիքների հզոր հնարավորությունների հետ ինտեգրելով՝ կազմակերպությունները կարող են ամրապնդել իրենց պաշտպանությունը տպագրական սխալների և փաթեթների կրկնօրինակման զարգացող սպառնալիքների դեմ՝ բարձրացնելով իրենց ծրագրային ապահովման մատակարարման շղթայի ընդհանուր անվտանգությունը։
