Her çend pakêtên kopîkirinê û typosquatting têgehên têkildar bin jî, ew ne yek in. Her du jî taktîkên xapînok dihewînin da ku bikarhêneran bixapînin da ku nermalava zirardar dakêşin, lê ew vê yekê bi awayên hinekî cûda dikin. Li vir ravekirinek berfireh a her yekê heye:
typosquatting
Typosquatting qeydkirina navên domain an navên pakêtan e ku pir dişibin yên rewa, û pir caran tenê bi xeletiyek çapkirinê ji hev cuda dibin. Armanc ew e ku bikarhênerên ku di nivîsandina URL an navekî pakêtê de xeletî dikin werin xapandin, û ew ber bi malper an nermalavên zirardar ve biçin li şûna yên rewa yên armanckirî.
Mînak:
Pakêta rewa: îfadekirin.
Guhertoyên pakêtê yên Typosquatted: îfadekirin ('s' kêmasî ye), îfade dike('s'ên zêde), or ekspres (duqat 'e').
Typosquatting-a Doza Cîhana Rastîn:
Di Mijdara 2018an de, lêkolînerên ewlehiyê pakêtek JavaScript-a zirardar a bi navê flatmap-stream ji ekosîstema NPM-ê tespît kirin û jêbirin. Êrîşkarek guhertina xerab xist nav vê pakêtê, û dûv re ew wekî girêdayîyek rasterast li pakêta populer a event-stream zêde kir. Bikarhêneran ev guhertoya xerabkar a flatmap-stream nêzîkî 8 mîlyon caran dakêşandPêşdebirên ku pakêta herikîna bûyerê ya talokekirî bi kar anîn, bi xeletî xwe bi koda xerabkar re rûbirû kirin.
Li vir, balê dikişîne ser şaşnivîsên piçûk an jî guhertoyên ku ji şaşiyên nivîsandinê yên hevpar sûd werdigirin.
Pakêtên Kopîkirî
Pakêtên kopîkirî çêkirina pakêtên xerabkar in ku yên populer û rewa teqlîd dikin. Bi taybetî, ev teqlîdkirin dikare ji şaşnivîsên sivik wêdetir biçe û dibe ku nav, danasîn, belgekirin û fonksiyonên wekhev jî di nav xwe de bigire da ku pakêta xerabkar rewa û pêbawer xuya bike.
Mînak:
Pakêta rewa: lodash
Guhertoyên pakêta kopîkirî: lodashjs, amûrên-lodash, an jî pakêtek bi heman navî lê ji hêla nivîskarekî cuda ve di depoyek kêmtir ewle de hatibe barkirin
Doza Cîhanê ya Rastîn:
Serlêdana Laravel a çavkaniya vekirî ya PHP-ê ya bi navê laravel-realworld-example-app bifikirin. Ev serîlêdan mînakên cîhana rastîn (operasyonên CRUD, pejirandin, şablonên pêşkeftî, hwd.) yên taybetmendiya API-ya RealWorld vedihewîne. Her çend pakêta rewa wekî referansekê xizmet dike jî, pakêtek kopî dikare bi karanîna navekî dişibihe wê teqlîd bike (mînak, laravel-realworld-example-apps an laravel-realworld-examples). Pakêtên kopî yên weha dikarin fonksiyonên wekhev, ravekirin û tewra belgeyan jî di nav xwe de bigirin, û pêşdebiran bixapînin ku wan li şûna guhertoya orjînal bikar bînin.
Li vir bal li ser teqlîdkirinek berfirehtir e ku ne tenê navan lê di heman demê de aliyên pêşkêşkirin û fonksiyonên pakêta rewa jî vedihewîne.
Differences Key
Focus:
Typosquatting bi giranî xeletiyên çapkirinê yên ku ji hêla bikarhêneran ve hatine çêkirin hedef digire.
Pakêtên kopî armanc dikin ku pakêtên rewa bi berfirehî teqlîd bikin, dibe ku nav, ravekirin û fonksiyonên wekhev di nav xwe de bigirin.
Qada teqlîdkirinê:
Typosquatting bi gelemperî guhertinên piçûk di navê pakêtê de vedihewîne.
Pakêtên kopî dikarin teqlîdeke berfirehtir di nav xwe de bigirin, ev yek wan hîn bêtir bawerpêker dike.
Li hevûdu kirin
Di navbera her du têgehan de hevgirtinek heye, ji ber ku pakêtên typosquatted dikarin wekî komek pakêtên copycat werin hesibandin. Her du taktîk jî armanc dikin ku bikarhêneran bixapînin da ku nermalava zirardar saz bikin, lê typosquatting ji xeletiyên nivîsandinê yên hevpar sûd werdigire, di heman demê de pakêtên copycat dikarin rêzek berfirehtir ji stratejiyên teqlîdkirinê bikar bînin.
Stratejiyên Mitigation
Ji bo parastina bi bandor li dijî çapkirina xelet û pakêtên kopîkirinê, rêxistin divê rêbazek piralî bicîh bînin ku stratejiyên kevneşopî û çareseriyên pêşkeftî yên mîna yên me vedihewîne. XygeniOpen Source Security Solution Li vir stratejiyên sereke hene ji bo kêmkirina van rîskan:
- Çavkaniyên pêbawer bikar bîninPêşî û berî her tiştî, her gav pakêtan ji çavkaniyên pêbawer û piştrastkirî an jî depoyên fermî dakêşin da ku rastbûna wan piştrast bikin.
- Pinkirina GirêdayîbûnêWekî din, girêdayîbûnan bi guhertoyên taybetî û verastkirî ve girêdin da ku li seranserê bicîhkirinên xwe hevgirtî û ewlehiyê biparêzin.
- Amûrên XweserWekî din, amûrên otomatîk ên mîna Xygeni bikar bînin da ku pakêtên gumanbar bi bandor bişopînin û nîşan bikin. Kapasîteyên tespîtkirina pêşkeftî yên Xygeni ji bo destnîşankirin û birêvebirina girêdayîbûnên gumanbar bi bandor hatine çêkirin, bi vî rengî qatek ewlehiyê ya zêde peyda dikin.
- Verification ManualHerwiha, amûrên otomatîk bi verastkirina destî temam bikin, nemaze ji bo pakêtên nû hatine zêdekirin an jî yên ku vê dawiyê nûvekirinên girîng derbas kirine.
- Rezervasyona NavcîhêJi bo pêşîgirtina li revandina ji hêla aktorên xerabkar ve, pakêtên namespace di depoyên giştî de qeyd bikin û kontrol bikin. Ev tedbîra proaktîf piştrast dike ku tenê nûvekirin û pakêtên destûrdar bi namespace ya rêxistina we ve girêdayî ne.
Bi entegrekirina van stratejiyan bi şiyanên bihêz ên amûrên Xygeni yên me re, rêxistin dikarin berevaniyên xwe li dijî gefên pêşkeftî yên pakêtên typosquatting û kopîkirinê xurt bikin, û ewlehiya giştî ya zincîra dabînkirina nermalava xwe zêde bikin.
