Walaupun pakej tiruan dan typosquatting adalah konsep yang berkaitan, ia tidak sama. Kedua-duanya melibatkan taktik mengelirukan untuk memperdaya pengguna supaya memuat turun perisian berniat jahat, tetapi ia melakukannya dengan cara yang sedikit berbeza. Berikut ialah penjelasan terperinci tentang setiap satu:
Typosquatting
Typosquatting melibatkan pendaftaran nama domain atau nama pakej yang sangat serupa dengan nama domain yang sah, selalunya berbeza hanya dengan ralat tipografi. Matlamatnya adalah untuk memperdaya pengguna yang melakukan kesilapan semasa menaip URL atau nama pakej, membawa mereka ke laman web atau perisian yang berniat jahat dan bukannya laman web atau perisian yang sah.
Contoh:
Pakej yang sah: ekspres.
Varian pakej yang ditaip: ekspres (tiada huruf 's'), menyatakan(tanda 's' tambahan), or ekspres (huruf 'e' berganda).
Kes Tipo Kes Dunia Sebenar:
Pada November 2018, penyelidik keselamatan mengenal pasti dan mengalih keluar pakej JavaScript berniat jahat yang dipanggil flatmap-stream daripada ekosistem NPM. Penyerang memperkenalkan pengubahsuaian jahat ke dalam pakej ini, dan kemudian menambahkannya sebagai pergantungan langsung kepada pakej strim peristiwa yang popular. Pengguna memuat turun versi flatmap-stream yang berniat jahat ini hampir 8 juta kaliPembangun yang menggunakan pakej strim peristiwa yang dikompromi secara tidak sengaja mendedahkan diri mereka kepada kod berniat jahat.
Di sini, tumpuan diberikan kepada sedikit salah ejaan atau variasi yang mengeksploitasi kesilapan menaip biasa.
Pakej Tiruan
Pakej tiruan melibatkan penciptaan pakej berniat jahat yang meniru pakej popular dan sah. Khususnya, tiruan ini boleh melangkaui sedikit salah ejaan dan mungkin juga termasuk nama, perihalan, dokumentasi dan fungsi yang serupa untuk menjadikan pakej berniat jahat kelihatan sah dan boleh dipercayai.
Contoh:
Pakej yang sah: lodash
Varian pakej tiruan: lodashjs, alat-lodash, atau pakej dengan nama yang sama tetapi dimuat naik oleh pengarang yang berbeza dalam repositori yang kurang selamat
Kes Dunia Sebenar:
Pertimbangkan aplikasi Laravel berasaskan PHP sumber terbuka popular yang dipanggil laravel-realworld-example-app. Aplikasi ini mengandungi contoh dunia sebenar (operasi CRUD, pengesahan, corak lanjutan, dll.) bagi spesifikasi RealWorld API. Walaupun pakej yang sah berfungsi sebagai rujukan, pakej peniru boleh menirunya dengan menggunakan nama yang serupa (cth., laravel-realworld-example-apps atau laravel-realworld-examples). Pakej tiruan sedemikian mungkin merangkumi fungsi, penerangan dan juga dokumentasi yang serupa, memperdaya pembangun untuk menggunakannya dan bukannya versi asli
Tumpuan di sini adalah pada tiruan yang lebih luas yang bukan sahaja merangkumi nama tetapi juga aspek persembahan dan fungsi pakej yang sah.
Perbezaan Utama
Fokus:
Typosquatting terutamanya menyasarkan ralat tipografi yang dibuat oleh pengguna.
Pakej tiruan bertujuan untuk meniru pakej yang sah secara lebih meluas, berpotensi termasuk nama, perihalan dan fungsi yang serupa.
Skop Peniruan:
Typosquatting biasanya melibatkan perubahan kecil pada nama pakej.
Pakej tiruan mungkin melibatkan tiruan yang lebih komprehensif, menjadikannya kelihatan lebih meyakinkan.
pertindihan
Terdapat pertindihan antara kedua-dua konsep ini, kerana pakej yang tersilap taip boleh dianggap sebagai subset pakej tiruan. Kedua-dua taktik ini bertujuan untuk memperdaya pengguna agar memasang perisian berniat jahat, tetapi tersilap taip mengeksploitasi kesilapan menaip biasa, manakala pakej tiruan mungkin menggunakan pelbagai strategi tiruan.
Strategi Mitigasi
Untuk melindungi secara berkesan daripada kesilapan menaip dan pakej peniru, organisasi harus menerima pakai pendekatan pelbagai aspek yang mengintegrasikan strategi tradisional dan penyelesaian canggih seperti kami XygeniOpen Source Security Penyelesaian. Berikut adalah strategi utama untuk mengurangkan risiko ini:
- Gunakan Sumber DipercayaiPertama sekali, sentiasa muat turun pakej daripada sumber yang dipercayai dan disahkan atau repositori rasmi untuk memastikan kesahihan.
- Penyematan KebergantunganSelain itu, pinkan kebergantungan pada versi tertentu yang disahkan untuk mengekalkan konsistensi dan keselamatan merentasi penggunaan anda.
- Alat AutomatikTambahan pula, manfaatkan alat automatik seperti Xygeni untuk mengimbas dan menandakan pakej yang mencurigakan dengan cekap. Keupayaan pengesanan lanjutan Xygeni direka bentuk untuk mengenal pasti dan mengurus kebergantungan yang disyaki dengan berkesan, sekali gus menyediakan lapisan keselamatan tambahan.
- Pengesahan ManualSelain itu, lengkapkan alat automatik dengan pengesahan manual, terutamanya untuk pakej yang baru ditambah atau yang baru-baru ini telah menjalani kemas kini yang ketara.
- Tempahan Ruang NamaUntuk mengelakkan rampasan oleh pelaku yang berniat jahat, daftar dan kawal pakej ruang nama dalam repositori awam. Langkah proaktif ini memastikan bahawa hanya kemas kini dan pakej yang dibenarkan dikaitkan dengan ruang nama organisasi anda.
Dengan mengintegrasikan strategi ini dengan keupayaan mantap alatan Xygeni kami, organisasi boleh memperkukuh pertahanan mereka terhadap ancaman typosquatting dan pakej tiruan yang semakin berkembang, sekali gus meningkatkan keselamatan keseluruhan rantaian bekalan perisian mereka.
