ஆக்சியோஸ் என்.பி.எம் பாதிப்பு: என்ன நடந்தது, யார் பாதிக்கப்பட்டுள்ளனர், மற்றும் அதைத் தடுப்பது எப்படி

Axios npm தாக்குதல் ஏன் ஆபத்தானது

மேலோட்டமாகப் பார்த்தால், எதுவும் தவறாகத் தெரியவில்லை. கோரிக்கை வெற்றிகரமாக நிறைவேற்றப்படுகிறது, செயலி எதிர்பார்த்தபடி செயல்படுகிறது, மேலும் pipelineகள் பிழையின்றி தொடர்ந்து கடந்து செல்கின்றன.

இருப்பினும், கோரிக்கை அனுப்பப்படுவதற்கு முன்பே முக்கியமான விவரம் நிகழ்ந்துவிடுகிறது. அந்தச் செயலாக்கக் காலக்கட்டத்தில், பாதிக்கப்பட்ட சார்புநிலையானது அங்கீகாரத் தலைப்புகள், ஏபிஐ டோக்கன்கள், கோரிக்கை மெட்டாடேட்டா மற்றும் சூழல் மாறிகள் போன்ற முக்கியமான தரவுகளை யாருக்கும் தெரியாமல் அணுகிச் சேகரிக்க முடியும்.

இந்த லாஜிக், HTTP கோரிக்கை பாதையில் நேரடியாக அமைந்துள்ள ஒரு நம்பகமான லைப்ரரிக்குள் இயங்குவதால், இது திறம்பட அப்ளிகேஷனின் அதே சிறப்புரிமைகளுடன் செயல்படுகிறது. இதன் விளைவாக, பொதுவாக வெளிப்புறத் தாக்குபவர்களிடமிருந்து பாதுகாக்கப்படும் தரவை இதனால் அணுக முடியும்.

இதை மிகவும் ஆபத்தானதாக ஆக்குவது தரவு அணுகல் மட்டுமல்ல, அதன் வெளிப்படையான தாக்கம் இல்லாததும்தான். செயல்பாட்டில் எந்த இடையூறும் இல்லை, கோரிக்கைகள் தோல்வியடையவில்லை, மேலும் ஏதோ தவறு நடந்ததற்கான உடனடி அறிகுறியும் இல்லை. செயல்பாட்டு ரீதியாகப் பார்த்தால், அனைத்தும் எதிர்பார்த்தபடியே தொடர்ந்து இயங்குகின்றன.

இதற்கிடையில், சாதாரண பயன்பாட்டுப் போக்குவரத்துடன் கலக்கும் வெளிச்செல்லும் இணைப்புகள் வழியாக, முக்கியமான தகவல்கள் ஏற்கனவே அமைப்பிலிருந்து வெளியேறிக் கொண்டிருக்கலாம்.

முதலில் இது ஏன் ஒரு DevOps சிக்கல்

டெவ்ஆப்ஸ் குழுக்களுக்கு இந்த வகை தாக்குதலைக் கண்டறிவது மிகவும் கடினம், ஏனெனில் இது ஏற்கனவே உள்ள பணிப்பாய்வுகளில் தடையின்றி ஒருங்கிணைந்துவிடுகிறது.

சார்புகள் தானாகவே நிறுவப்படுகின்றன. pipelineசெயல்பாடுகள் இயல்பாக இயங்குகின்றன, மேலும் உடனடித் தோல்விகள் எதுவும் ஏற்படவில்லை.

அதே நேரத்தில், CI/CD சூழல்கள் பெரும்பாலும் உயர் மதிப்புள்ள சான்றுகளை வெளிப்படுத்துகின்றன, அவற்றுள் அடங்குபவை:

• கிளவுட் வழங்குநர் டோக்கன்கள்
• வரிசைப்படுத்தல் விசைகள்
• CI/CD அங்கீகார இரகசியங்கள்

இந்தச் சூழலில் இயங்கும், பாதிப்புக்குள்ளான ஒரு சார்புநிலையானது, அந்த நற்சான்றுகளை நேரடியாக அணுக முடியும்.

இதனால், பின்னணியில் முக்கியமான தரவுகள் அணுகப்பட்டுக் கொண்டிருக்கும்போதே, எல்லாம் சாதாரணமாகத் தோன்றும் ஒரு சூழல் உருவாகிறது.

உண்மையான ஆபத்து: பெருமளவிலான இரகசிய வெளிப்பாடு

ஆக்சியோஸ் என்பிஎம் சமரசம், நவீன தாக்குதல் உத்திகளில் ஒரு முக்கிய மாற்றத்தை எடுத்துக்காட்டுகிறது.

பாதுகாப்புக் குறைபாடுகளைச் சுரண்டுவது இனி நோக்கமல்ல, மாறாகச் சரியான சான்றுகளை அணுகுவதே ஆகும்.

நவீன அமைப்புகள் சூழல் அடிப்படையிலான அங்கீகாரத்தைச் சார்ந்து இருப்பதால், இயங்கு நேரத்தில் செயல்படும் ஒரு சார்புநிலை பின்வருவனவற்றை அணுக முடியும்:

• API விசைகள்
• சேவை டோக்கன்கள்
• கிளவுட் நற்சான்றிதழ்கள்

இந்த நற்சான்றிதழ்கள் உடைக்கப்பட வேண்டிய அவசியமில்லை.

அவற்றை பயன்படுத்தினால் மட்டும் போதும்.

இது, தாக்குதல் நடத்துபவர்கள் முறையான அங்கீகாரத்தைப் பயன்படுத்தி பக்கவாட்டாக நகரவும், சேவைகளை அணுகவும், தரவைப் பிரித்தெடுக்கவும் வழிவகுக்கிறது.

இதன் விளைவாக, அதன் தாக்கம் தாக்குதல் எவ்வாறு செயல்படுத்தப்படுகிறது என்பதைச் சார்ந்து இருப்பதில்லை, மாறாக என்னென்ன இரகசியங்கள் அம்பலப்படுத்தப்படுகின்றன என்பதைப் பொறுத்தே அமைகிறது.

பாரம்பரிய பாதுகாப்பு கருவிகள் இதை ஏன் தவறவிடுகின்றன

பாரம்பரிய அணுகுமுறைகள் அறியப்பட்ட பாதிப்புகள் அல்லது நிலையான அடையாளங்களில் கவனம் செலுத்துவதால், இந்தத் தாக்குதல்களைக் கண்டறிவதில் சிரமப்படுகின்றன. இருப்பினும், முன்னிலைப்படுத்தப்பட்டுள்ளபடி OpenAI இன் பகுப்பாய்வு ஆக்சியோஸ் டெவலப்பர் கருவியின் பாதுகாப்பு மீறலால், உண்மையான ஆபத்து இயக்க நேரத்தில்தான் உருவாகிறது; அப்போது நம்பகமான சார்புநிலைகள் முக்கியமான தரவுகளுடன் தொடர்பு கொள்கின்றன.

இருப்பினும், பாதிப்புக்குள்ளான ஒரு சார்புநிலையில் வெளிப்படையான அறிகுறிகள் எதுவும் இல்லாமல் இருக்கலாம்.

அங்கே இருக்கலாம்:

• CVE இல்லை
• தீங்கிழைக்கும் கையொப்பம் இல்லை
• அசாதாரணமான தொடரியல் இல்லை

அதே நேரத்தில், நிலை பகுப்பாய்வு இயக்க நேர நடத்தையை மதிப்பிடுவதில்லை. ஒரு சார்பு செயல்படுத்தப்பட்டவுடன், அது முக்கியமான தரவுகளுடன் எவ்வாறு தொடர்பு கொள்கிறது என்பதை அதனால் தீர்மானிக்க முடியாது.

இதனால், பகுப்பாய்வின் போது குறியீடு பாதுகாப்பானதாகத் தோன்றினாலும், செயல்படுத்தலின் போது அது அபாயகரமானதாக மாறும் ஒரு இடைவெளி உருவாகிறது.

Axios npm போன்ற தாக்குதல்களைக் கண்டறிவது மற்றும் தடுப்பது எப்படி

இந்த வகையான Axios npm தாக்குதலைத் தடுப்பதற்கு, நிலையான ஆய்விலிருந்து இயக்க நேர விழிப்புணர்வுக்கு மாற வேண்டியுள்ளது.

குழுக்களுக்கு, சார்புநிலைகள் எதைக் கொண்டிருக்கின்றன என்பது மட்டுமல்லாமல், அவை எவ்வாறு செயல்படுகின்றன என்பது பற்றிய தெளிவும் தேவை.

இதில் அடங்கும்:

• இயக்க நேரத்தில் முக்கியமான தரவுகளுக்கான அணுகலைக் கண்காணித்தல்
• இரகசியங்கள் களஞ்சியங்களைச் சென்றடைவதற்கு முன்பே அவற்றைக் கண்டறிதல்
• ஸ்கேனிங் pipelineவெளிப்படுத்தப்பட்ட நற்சான்றிதழ்களுக்கான s மற்றும் கலைப்பொருட்கள்
• வெளிச்செல்லும் பிணையச் செயல்பாட்டில் உள்ள முரண்பாடுகளைக் கண்காணித்தல்

இருப்பினும், கண்டறிவது மட்டும் போதாது.

கண்டறிதலில் இருந்து தடுப்பு வரை: உண்மையில் அபாயத்தைக் குறைப்பது எது?

இது போன்ற ஒரு சம்பவத்திற்குப் பிறகு, குழுக்கள் பெரும்பாலும் பெருமளவிலான, வெளிப்படக்கூடிய சாத்தியமுள்ள நற்சான்றிதழ்களை எதிர்கொள்கின்றன.

அவற்றைக் கண்டுபிடிப்பதில் சவால் இல்லை. அவற்றுள் முக்கியமானவை எவை என்பதை அடையாளம் காண்பதில்தான் சவால் உள்ளது.

முக்கியமான கேள்வி இதுவாகிறது:

எந்த இரகசியங்கள் இன்னும் செல்லுபடியாகக்கூடியவை மற்றும் பயன்படுத்தக்கூடியவை?

சரிபார்ப்பு இல்லாமல், குழுக்கள் செயலற்ற சான்றுகளில் நேரத்தை வீணடிக்கின்றன, அதே நேரத்தில் உண்மையான அபாயங்கள் அப்படியே இருக்கின்றன.

திறம்பட பதிலளிக்கத் தேவைப்படுபவை:

• அம்பலமான இரகசியங்களைக் கண்டறிதல்
• அவர்கள் இன்னும் அணுகலை வழங்குகிறார்களா என்பதைச் சரிபார்த்தல்
• அவற்றை விரைவாக ரத்து செய்தல் அல்லது சுழற்றுதல்

இது தாக்குதல் நடக்கும் நேரத்தைக் குறைத்து, தாக்குபவருக்குக் கிடைக்கும் அவகாசத்தையும் கட்டுப்படுத்துகிறது.

விநியோகச் சங்கிலி அபாயத்தைக் குறைக்க சைஜெனி எவ்வாறு உதவுகிறது

சைஜெனி கண்டறிதல், சரிபார்த்தல் மற்றும் சரிசெய்தல் ஆகியவற்றை ஒரே பணிப்பாய்வில் இணைப்பதன் மூலம் இந்தச் சவாலை இது எதிர்கொள்கிறது.

இது குறியீடு முழுவதும் வெளிப்படும் இரகசியங்களைத் தொடர்ந்து கண்டறிகிறது. pipelineகள் மற்றும் கலைப்பொருட்கள். அதே நேரத்தில், அந்த நற்சான்றிதழ்கள் சூழலில் இன்னும் செயலில் உள்ளதா என்பதையும் இது சரிபார்க்கிறது.

தாக்குதல் நடத்துபவர்கள் உண்மையில் எதைப் பயன்படுத்தக்கூடும் என்பதில் கவனம் செலுத்த இது அணிகளுக்கு உதவுகிறது.

செயலில் உள்ள இரகசியங்கள் அடையாளம் காணப்பட்டவுடன், தானியங்கு சரிசெய்தல் பணிப்பாய்வுகள், அவற்றை ரத்து செய்வதன் மூலமோ அல்லது கட்டுப்படுத்தப்பட்ட சுழற்சியின் மூலமோ வெளிப்பாட்டு நேரத்தைக் குறைக்க உதவுகின்றன.

இதன் விளைவாக, பதில்வினை வேகமாகவும், மேலும் துல்லியமாகவும் அமைகிறது.cisமேலும், குறைவான இடையூறுகளை ஏற்படுத்தும்.