At Ксигенӣ, мо дар тӯли соли гузашта бо татбиқи як системаи ҳамаҷониба машғул будем, ки феҳристҳои бастаҳои кушодаасосро барои фаъолияти шубҳанок ё рамзи зараровар назорат мекунад.
Ин инфрасохтор ба мо имкон медиҳад, ки ҳамаи бастаҳои нашршавандаро дар вақти воқеӣ таҳлил кунем. Инчунин, он ба мо имкон медиҳад, ки рафторҳои ғайримуқаррарии корбаронро назорат кунем.
Дар ҳоле ки мавҷудияти рамзи зараровар дар реестрҳои бастаҳо хуб маълум аст, рафторҳои аҷибу ғайриоддии дигаре низ ҳастанд, ки аз ҷониби корбарони доимии ин реестрҳо комилан нодида гирифта мешаванд. Ҳатто барои онҳое аз мо, ки онҳоро бодиққат назорат мекунем, ёфтани сабаб ё тавзеҳот барои чунин рафтор осон нест.
Хусусияти хоси дастаи Xygeni истодагарии мо ҳангоми рӯ ба рӯ шудан бо мушкилот аст, аз ин рӯ мо ба ин масъала амиқтар омӯхтем.
Ҳамааш бо як афзоиши оморӣ оғоз шуд
Тавре ки қаблан қайд кардам, ҳамчун як қисми инфрасохтори худ, мо бисёр нишондиҳандаҳои фаъолиятро дар феҳристҳои бастаҳои кушодаасос назорат мекунем.
Дар рӯзҳои охири моҳи март, ҳамкори кории ман Кармен хатари изтироб баланд кард. Мо мушоҳидаи инҳирофи назаррасро дар шумораи бастаҳое, ки дар NPM нашр шудаанд. Пас аз баррасии аввалия, мо муайян кардем, ки ин тафовут асосан аз сабаби шумораи нисбатан ками корбароне буд, ки суръати нашри бастаҳояшон ногаҳон ба осмон расидааст.
Ин моро водор кард, ки раванд ва маълумоти марбут ба онро дар дохили платформа аз назар гузаронем. Хушбахтона, баррасии мо муайян кард, ки маълумот дуруст ба назар мерасад, аммо ин ҳам то андозае печида буд!
Пас аз санҷиши минбаъда, мо муайян кардем, ки ин бастаҳо якчанд хусусиятҳои умумиро доранд:
- Ноширон корбарони навтаъсис буданд, ки ҳадди аксар аз як ё ду моҳа зиёдтар набуданд.
- Бастаҳо номҳои тасодуфӣ доштанд, ки эҳтимолан бо истифода аз луғат сохта шудаанд. Мо метавонем номҳои бастаҳоеро пайдо кунем, ки номҳои аҷибе ба монанди бузургҷусса_микит-смайлетея, erick-mangut94-sukiwir, экзотик_хазандагон-апптеадев or appteadev-и барҷаста_тунаМо замимаеро бо баъзе мисолҳои дороиҳое, ки ёфтем, дохил хоҳем кард.
- Мундариҷаи ин бастаҳо хеле монанд буданд, аксар вақт якхела буданд.
Дар ин замина, мо мушоҳида кардем, ки яке аз бастаҳо скрипти Python-ро дар бар мегирифт, эҳтимолан тасодуфан, ки ба назар мерасад, ки барои нашри худкори бастаҳо истифода мешавад.
Кушодани тӯр
Фаъолияти нашри баъзе аз ин ноширон дар моҳи охир мувофиқи ҷадвали хронологии зерин анҷом дода шудааст:
Инҳо омори пурраи марбут ба ин чорабинӣ мебошанд, ки мо метавонем мубодила кунем:
Аз баррасии инфиродии баъзе аз бастаҳои марбут ба ин корбарон чизе муҳиме ба даст наомад. Ин моро водор кард, ки тасвири умумии ҳамаи онҳоро таҳлил кунем ва намунаҳоеро ҷустуҷӯ кунем, ки метавонанд дар бораи ин муваффақият нишонаҳо диҳанд.
Дар ниҳоят, мо як миқдори зиёди бастаҳоро барои таҳлил дорем:
Инҳо нуктаҳои асосие мебошанд, ки мо метавонем аз таҳлили мазкур қайд кунем:
- Бисёре аз бастаҳои NPM бо ҳам алоқаманданд. Баъзеҳо ҳамчун вобастагии дигарон зикр карда мешаванд.
- Гарчанде ки бастаҳои аҷибанд ва эҳтимолан касе дар бораи мавҷудияти онҳо намедонад, баъзеи онҳо ҳар ҳафта боргирӣ мешаванд. Қабул кардани он душвор аст, ки корбари муқаррарӣ метавонад бастаҳоеро ба монанди ин зеркашӣ кунад. 0mc03esisd.
- Баъзеҳо анборҳои алоқаманд доранд. Баъзан соҳибони ин анборҳо ҳисобҳои сохта ба назар мерасанд, ба монанди ҳисобҳои дар npm буда.
Эзоҳ: Истифодабарандагон бастаҳои иловагиро дар шакли мавҷҳо бор мекунанд, аз ин рӯ маълумоти пешниҳодшуда метавонад каме фарқ кунад.
Ин мисоли яке аз анборҳои марбут аст. Он рамзи баъзе аз бастаҳои нашршударо дар бар мегирад. Инчунин баъзе файлҳои дигар, ба монанди чой.ямл парванда.
Вохӯрӣ бо актёр(он)
Муайян кардани он ки ин кори як муаллиф аст ё якчанд ҳамкорон. Бо вуҷуди ин, мо баъзе далелҳое дорем, ки пайдоиши ин фаъолиятро маҳдуд мекунанд:
- Забон: Баъзе шарҳҳо дар рамз бо забони индонезӣ мебошанд.
- Макон: Соҳибони баъзе аз анборҳои марбут макони худро дар Индонезия нишон медиҳанд.
- Маконе, ки мо метавонем тавассути метамаълумоти фаъолият дар GitHub муайян кунем, инчунин ба Индонезия ишора мекунад.
Чойи соати панҷ
Азбаски Индонезия мустамликаи Бритониё буд, барои нӯшидани чой дар ин ҷо комилан мувофиқ мебуд. Аммо, дар ин ҳолат, ин як навъи махсуси чой аст.
Оё шумо дар хотир доред чой.ямл файлҳое, ки мо дар аввал дидем? Дар он вақт мо мундариҷаи онҳоро нишон надодем, аммо онҳо чунин ба назар мерасиданд:
Ба назар чунин мерасад, ки ин файлҳо бо Протоколи чойАммо ин маҳз чӣ аст? Мо расидем https://tea.xyz/blog/250k-grant-for-open-source-developers, ки дар бораи ҳадаф сухан мегӯяд:
Ширкати "Чой" бо ҳалли масъалаи деринаи ҷубронпулии нокифоя барои таҳиягарони манбаъҳои кушода ҷаҳони рақамиро ба ларза меорад. Ҳалли ин масъала аз ҳарвақта бештар муҳим аст, аз ин рӯ мо тасмим гирифтем, ки пеш аз оғози протокол 250 ҳазор доллар грант ҷудо кунем. Ин марҳилаи ибтидоӣ барои дастгирии нигоҳдорандагони лоиҳаҳои манбаъҳои кушода, ки ба экосистемаи нармафзори манбаъҳои кушода таъсири назаррас мерасонанд ва рейтинги "чой" аз 30 зина пештар аз "Протоколи чой" пешсаф аст, равона шудааст.
Мувофиқи ҳуҷҷатҳои протоколи чой:
«Барои сабти ном шудани лоиҳа дар Протоколи чой, ба он файли tea.yaml лозим аст, ки ҳамчун конститутсияи лоиҳа хизмат мекунад ва шумораи саҳмгузорон ва шумораи овозҳоеро, ки барои иҷрои амалҳои муайян заруранд, танзим мекунад.»
Пас аз дастрасӣ ба шабакаи чой, мо кӯшиш кардем, ки яке аз бастаҳоеро пайдо кунем, ки гумон мекунем обрӯи онро боло мебардорад. Мо онро ёфтем:
Ба назар чунин мерасад, ки ин шарҳи он чизест, ки дар ин ҷо рӯй медиҳад: баъзе корбарон лоиҳаҳои кушодаасоси худро бо маъруфияти тахайюлӣ муболиға мекунанд, то рейтинги чойро аз худ кунанд ва аз имтиёзҳое, ки аз ҷониби иттиҳодияи чой пешниҳод мешаванд, баҳра баранд. Дар ниҳоят, пул қадимтарин қувваи пешбаранда дар баробари алоқаи ҷинсӣ аст.
Хулоса ва андешаҳои ниҳоӣ
Гарчанде ки дар ин бастаҳои NPM ягон далели рамзи зараровар пайдо нашудааст ва эҳтимолан онҳо қасд надоштанд, ки касе онҳоро истифода барад, онҳо метавонанд якчанд Шартҳои Хизматрасонии (TOS) NPM, GitHub ё Ассотсиатсияи чойро вайрон кунанд. Аммо, ин берун аз доираи кори мост (ба онҳо огоҳ карда шудааст ва чораҳое, ки онҳо мувофиқ мешуморанд, андешида мешаванд). Истифодаи сӯиистифода аз ин платформаҳо ба мо ва ташкилотҳои мо ба таври муайян таъсир мерасонад.
Равшан аст, ки ҳама гуна бастаи кушодаасос, ки ба назар безарар аст, метавонад рафторҳоеро дар бар гирад, ки фаҳмидани онҳо бе маълумоти пурраи контекстӣ душвор аст.
Ҳамчун як таҳиягар, ман идоракунии дастӣ ҳамаи бастаҳои кушодаасосро, ки дар барномаҳое, ки мо бо сатҳи муайяни эътимод таҳия ва нигоҳ медорем, истифода мешаванд, душвор меҳисобам. Бе ёрии абзоре, ки ин идоракуниро автоматӣ мекунад, ин вазифа метавонад соатҳои бешумори дастаҳои моро сарф кунад.
Ҳамеша имкони нигоҳ кардан ба тарафи дигар вуҷуд дорад ва ба он боварӣ дорем, ки оламҳои кушодаасос ҷойҳои бехатар мебошанд. Хушбахтона, ман боварӣ дорам, ки ин тарзи фикрронӣ имрӯз чандон паҳн нашудааст; ин парванда амалан безарар буд, аммо мо ба наздикӣ бо як ҳодисаи хеле ҷиддитар рӯ ба рӯ шудем. XZ Backdoor, ва ин тавр нашудааст ягона.
Агар шумо то ин ҷо хонда бошед, умедворам, ки аз ҳама печидагиҳои ин чорабинии аҷиб лаззат бурдед. Фаромӯш накунед, ки чанд дақиқаро барои баррасии он чизе, ки Xygeni метавонад ба амнияти ташкилоти шумо саҳм гузорад, сарф кунед.
Замима: Рӯйхати дороиҳои марбут ба онро, ки бояд дар мақолаи ниҳоӣ дохил карда шаванд, тартиб диҳед
NPM корбарони мувофиқтарро дар асоси шумораи бастаҳои нашршуда муайян мекунад: vndra, wanzaty, artknight404, seblakkuah, Mikrositer, kellyman17
Намунаи хурди бастаҳои марбут ба онҳо: mikrositer, cryndex, arts-dao, seblakkuah, vndrabnb, vndrave, depfif, depsik, depeit, depnin, Dopon, kellymanteasproject.
Баъзе аз анборҳои марбут ба GitHub, ки файлҳои tea.yml-ро дар бар мегиранд:
