requirements.txt: Zana Kuu au Tishio Lililofichwa?
Kila mradi wa Python unao. Huo unaoonekana kuwa hauna hatia requirements.txt imekaa kwenye mzizi wa repo yako, faili pip install requirements.txt hutumia, ni orodha ya vitegemezi, bila shaka, lakini usipokuwa mwangalifu, inaweza pia kuwa mlango wazi kwa miundo isiyo imara, vifurushi dhaifu, na masuala makubwa ya usalama.
Katika msingi wake, mahitaji.txt hudhibiti vifurushi vya watu wengine ambavyo programu yako inavuta. Unapoendesha pip install -r needs.txt, Meneja wa kifurushi cha Python husakinisha kila utegemezi ulioorodheshwa. Lakini hili ndilo jambo muhimu zaidi: usipobandika matoleo halisi, wewe ni kuamini PyPI ili kutoa toleo salama, linaloendana, na ambalo halijabadilishwa kila wakati. Hivi sivyo AppSec ya kisasa inavyofanya kazi.
Bila kubandika, miundo inaweza kuvunjika. Mbaya zaidi, programu yako inaweza kuingiza vifurushi hasidi bila kujua. Matoleo huria (Chupa >=1.0, kwa mfano) au vikwazo vya toleo huru (django~=3.2) ni msingi mzuri wa kuingiza msimbo usio salama. Hii ndiyo sababu kusimamia ipasavyo mahitaji.txt ni kazi kuu ya usalama.
Ambapo kuganda kwa bomba na kusanikisha mahitaji ya bomba.txt Uchanganuzi
kugandisha bomba ni rahisi, lakini pia ni hatari inapotumika bila kuelewa inachokipata. Wasanidi programu mara nyingi hutengeneza mahitaji.txt kutumia mahitaji ya kufungia bomba.txt, wakitarajia kufunga mazingira yao. Lakini freeze haithibitishi usalama au asili ya utegemezi; inatupa tu kila kitu kilichosakinishwa kwa sasa, ikiwa ni pamoja na vifurushi vinavyobadilika na ambavyo vinaweza kuwa vimepitwa na wakati.
Sasa fikiria mwenzako, au CI wako, anakimbia bila kujua pip install -r needs.txtIkiwa faili hiyo inajumuisha faili iliyoondolewa kwenye huduma, iliyo hatarini, au hata vifurushi vilivyojaa maandishi ya typo, umejiendesha kiotomatiki kwa tukio la usalama.
Mfano wa haraka:
⚠️ Mfano usio salama, usitumie katika uzalishaji
Sasa ongeza hii kwenye CI yako pipeline:
Unaamini kwamba mazingira yanaweza kuzaliana tena, kwamba hakuna kilichobadilika katika PyPI, na kwamba kila utegemezi bado iko salama. Hilo ni wazo kubwa unapotegemea mahitaji ya kufungia bomba.txt workflows.
Vitisho Halisi vya AppSec: Kuchanganya na Kutegemeana na Mkanganyiko katika requirements.txt
Washambuliaji wanapenda mifumo ikolojia ya chanzo huria. Kwa nini? Kwa sababu watengenezaji mara nyingi hutegemea chaguo-msingi na uaminifu usio dhahiri. Hivi ndivyo wanavyoshambulia kwa kutumia mahitaji.txt:
- Kupiga chapa kwa kutumia typosquatting: Kupakia kifurushi hasidi chenye jina kama maombi badala ya maombi. Herufi moja imezimwa na muundo wako unamilikiwa.
maombi # ⚠️ Mfano wa kielelezo, si kifurushi halisi cha kusakinisha
- Mkanganyiko wa Utegemezi: Ikiwa kifurushi chako cha ndani hakijabanwa au hakijawekwa kwenye kompyuta ya faragha, washambuliaji wanaweza kuchapisha toleo hasidi kwa PyPI lenye jina moja. Ikiwa CI yako haithibitishi vyanzo, utasakinisha kifurushi chao badala ya chako.
Mashambulizi yote mawili yanatumia ukosefu wa udhibiti mkali wa chanzo na udhibiti mkali wa chanzo mahitaji.txtKama yako anasema tu baadhi-ya-ndani-lib, na unakimbia mahitaji ya usakinishaji wa bomba.txt katika CI, inaweza kuleta kifurushi kisicho sahihi kutoka mahali pasipofaa.
Inalinda requirements.txt katika CI/CD Pipelines zenye Hashes na Ubandishaji
Hivi ndivyo jinsi ya kuiga mahitaji.txt dhidi ya vitisho vya ulimwengu halisi:
- Bandika matoleo halisi: Tumia kila wakati == kwa kila kifurushi chako mahitaji.txtHakuna kadi wildcards, hakuna masafa.
- Kutumia -hitaji-hashes: Hii inafanya pip install -r needs.txt thibitisha uadilifu wa kila kifurushi kilichopakuliwa.
Mfano:
⚠️ Mfano wa mfano, badilisha na hash halisi katika miradi halisi
- Tenga miundo yako: Jenga kwenye vyombo safi na vichache kila wakati. Usiamini kamwe picha ya msingi bila kujua.
- Tumia faharasa ya PyPI ya kibinafsi: Hifadhi proksi/kashe yako mwenyewe na uakisi vifurushi vinavyoaminika pekee.
Endesha uchanganuzi wa utegemezi: Unganisha zana kama vile ukaguzi wa bomba au matumizi SBOMuchambuzi unaotegemea pipelines.
Mfano wa kipande cha Vitendo vya GitHub:
⚠️ Kielimu pipeline mfano, jifunze kulingana na mazingira yako
Ushughulikiaji mkali wa pip install -r needs.txt in CI/CD ni mojawapo ya njia rahisi zaidi za kupunguza hatari ya chanzo huria.
Miundo Inayoweza Kuzalishwa: Kuiweka Imara Katika Mazingira Yote
Ikiwa programu yako inafanya kazi ndani lakini inashindwa katika uundaji au uzalishaji, utegemezi usio thabiti katika mahitaji.txt ndio watuhumiwa wa kawaida. Hata toleo dogo la kuteleza husababisha matatizo makubwa.
Tumia mikakati hii:
- zana za bomba: Tumia kukusanya bomba kutengeneza mahitaji.txt kutoka kwa mahitaji.inHutatua utegemezi kwa kubandika sahihi.
- Alama za mazingiraKwa vifurushi maalum vya OS au utegemezi maalum wa toleo la Python, tumia alama kama mfumo_wa_platform == 'Linux'.
- Hifadhi ya kizigeu: Katika CI, hifadhi tabaka zako za Docker baada ya kusakinisha utegemezi kutoka mahitaji.txt ili kupunguza tofauti za ujenzi.
Mfano na zana za bomba:
⚠️ Mfano unaoonyesha, matokeo halisi yanategemea mazingira yako
Matokeo yake yamebandikwa kikamilifu mahitaji.txt.
Vyombo kama kugandisha bomba, ikiunganishwa na pip install -r needs.txt wakati wa ujenzi, zinahitaji nidhamu na ulinzi wa ziada.
Hitimisho: Kufunga Mahitaji Yako kwa Kujiamini
Usimamizi Mbaya mahitaji.txt si tu utaratibu mbaya; ni hatari inayoendelea ya usalama. Ubandishaji hafifu, usakinishaji ambao haujathibitishwa, na uaminifu usio na uhakika katika sajili zilizo wazi ndizo njia ambazo washambuliaji hutumia vibaya programu yako. CI/CD pipelineHizi si dosari za kinadharia; zinatumiwa vibaya kila siku.
Kuweka utegemezi kwenye akaunti ni zaidi ya utaratibu bora zaidi. Ni safu yako ya kwanza ya ulinzi dhidi ya mashambulizi ya mnyororo wa ugavi huko Python. Changanya hilo na -hitaji-hashes, jenga utengano, na zana zinazoweza kuzalishwa tena kama zana za bomba, na unapata a pipeline hiyo ni vigumu zaidi kukubaliana.
Ikiwa unatumia mahitaji ya usakinishaji wa bomba.txt ndani au katika CI, thibitisha na ufuatilie kila wakati kinachoingia kwenye miundo yako. Zana kama vile Xygeni kutoa mwonekano, utekelezaji wa sera, na ukaguzi otomatiki unaofunga mnyororo wako wa usambazaji wa Python kutoka mahitaji ya kufungia bomba.txt njia yote ya uzalishaji.
