Гарчанде ки бастаҳои нусхабардорӣ ва хатогиҳои чопӣ мафҳумҳои ба ҳам алоқаманданд, онҳо яксон нестанд. Ҳарду тактикаҳои фиребандаро дар бар мегиранд, ки корбаронро ба зеркашӣ кардани нармафзори зараровар фиреб медиҳанд, аммо онҳо ин корро бо роҳҳои каме фарқ мекунанд. Дар ин ҷо шарҳи муфассали ҳар яки онҳо оварда шудааст:
Типосквотинг
Хатнависӣ бақайдгирии номҳои доменӣ ё номҳои бастаҳоеро дар бар мегирад, ки ба номҳои қонунӣ хеле монанданд ва аксар вақт танҳо бо хатои чопӣ фарқ мекунанд. Ҳадаф фиреб додани корбароне аст, ки ҳангоми чоп кардани URL ё номи баста хато мекунанд ва онҳоро ба сайтҳо ё нармафзори зараровар ба ҷои сайтҳои қонунии пешбинишуда равона мекунанд.
Намуна:
Бастаи қонунӣ: баён.
Вариантҳои бастаи Typosquatted: экспресс (дар ҳолати гум шудани 's'), ифода мекунад(иловагӣ), or экспресс (дугонаи 'e').
Чопи чопкунӣ дар ҳолатҳои воқеӣ:
Дар моҳи ноябри соли 2018, муҳаққиқони амниятӣ бастаи зараровари JavaScript-ро бо номи flatmap-stream аз экосистемаи NPM муайян ва нест карданд. Як ҳамлагар ин тағйироти зарароварро ба ин баста ворид кард ва сипас онро ҳамчун вобастагии мустақим ба бастаи машҳури event-stream илова кард. Истифодабарандагон ин версияи зараровари Flatmap-stream-ро қариб 8 миллион маротиба зеркашӣ кардандТаҳиягароне, ки бастаи осебдидаи рӯйдодҳои ҷараёнро истифода мебурданд, тасодуфан худро ба рамзи зараровар дучор карданд.
Дар ин ҷо, диққати асосӣ ба хатогиҳои ночизи имлоӣ ё вариантҳое равона карда шудааст, ки аз хатогиҳои маъмулии чопӣ истифода мебаранд.
Бастаҳои нусхабардорӣ
Тақлид кардани бастаҳо эҷоди бастаҳои зарароварро дар бар мегирад, ки бастаҳои маъмул ва қонуниро тақлид мекунанд. Аз ҷумла, ин тақлид метавонад аз хатогиҳои ночизи имлоӣ фаротар равад ва инчунин метавонад номҳо, тавсифҳо, ҳуҷҷатҳо ва функсияҳои монандро дар бар гирад, то бастаи зарароварро қонунӣ ва боэътимод нишон диҳад.
Намуна:
Бастаи қонунӣ: лодаш
Вариантҳои бастаи нусхабардорӣ: lodashjs, асбобҳои lodash, ё ҳатто бастае бо ҳамон ном, аммо аз ҷониби муаллифи дигар дар анбори камтар амн боргузорӣ шудааст
Ҳодисаи воқеӣ:
Барномаи маъмули кушодаасоси Laravel-ро, ки дар асоси PHP сохта шудааст, бо номи laravel-realworld-example-app баррасӣ кунед. Ин барнома дорои мисолҳои воқеии (амалиёти CRUD, аутентификатсия, намунаҳои пешрафта ва ғайра) мушаххасоти API-и RealWorld мебошад. Дар ҳоле ки бастаи қонунӣ ҳамчун истинод хизмат мекунад, бастаи нусхабардор метавонад онро бо истифода аз номи монанд (масалан, laravel-realworld-example-apps ё laravel-realworld-examples) тақлид кунад. Чунин бастаҳои нусхабардорӣ метавонанд функсияҳо, тавсифҳо ва ҳатто ҳуҷҷатҳои монандро дар бар гиранд, ки таҳиягаронро водор мекунанд, ки онҳоро ба ҷои версияи аслӣ истифода баранд.
Дар ин ҷо диққати асосӣ ба тақлидоти васеътар равона карда шудааст, ки на танҳо номҳо, балки ҷанбаҳои муаррифӣ ва функсияҳои бастаи қонуниро низ дар бар мегирад.
Фарқиятҳои асосӣ
Фокус:
Typosquatting асосан хатогиҳои чопии аз ҷониби корбарон содиршударо ҳадаф қарор медиҳад.
Бастаҳои нусхабардорӣ ҳадаф доранд, ки бастаҳои қонуниро васеътар тақлид кунанд, эҳтимолан номҳо, тавсифҳо ва функсияҳои монандро дар бар гиранд.
Доираи тақлид:
Typosquatting одатан тағйироти ночизро дар номи баста дар бар мегирад.
Бастаҳои нусхабардорӣ метавонанд тақлиди ҳамаҷонибаро дар бар гиранд, ки онҳоро боз ҳам боварибахштар ба назар мерасонанд.
Такрори
Байни ин ду мафҳум ҳампӯшӣ вуҷуд дорад, зеро бастаҳои чопӣ метавонанд як зермаҷмӯи бастаҳои нусхабардорӣ ҳисобида шаванд. Ҳарду тактика барои фиреб додани корбарон ба насб кардани нармафзори зараровар равона шудаанд, аммо чопӣ аз хатогиҳои маъмулии чопкунӣ истифода мебаранд, дар ҳоле ки бастаҳои нусхабардорӣ метавонанд доираи васеи стратегияҳои тақлидӣ истифода баранд.
Стратегияҳои кам кардани таъсир
Барои ҳифзи самаранок аз хатогиҳои чопӣ ва бастаҳои тақлидӣ, ташкилотҳо бояд равиши бисёрҷанбаеро қабул кунанд, ки стратегияҳои анъанавӣ ва роҳҳои ҳалли пешрафтаро ба монанди мо муттаҳид мекунад. КсигенӣOpen Source Security Ҳал. Дар ин ҷо стратегияҳои асосӣ барои кам кардани ин хатарҳо оварда шудаанд:
- Манбаъҳои боэътимодро истифода баредПеш аз ҳама, барои таъмини аслӣ будан, бастаҳоро ҳамеша аз манбаъҳои боэътимод ва тасдиқшуда ё анборҳои расмӣ зеркашӣ кунед.
- Пиннинги вобастагӣИлова бар ин, барои нигоҳ доштани мувофиқат ва амният дар тамоми ҷойгиркуниҳои худ, вобастагиҳоро ба версияҳои мушаххас ва тасдиқшуда пайваст кунед.
- Воситаҳои автоматӣҒайр аз ин, аз абзорҳои автоматикунонидашуда ба монанди Xygeni барои скан ва нишон додани бастаҳои шубҳанок самаранок истифода баред. Имкониятҳои пешрафтаи ошкоркунии Xygeni барои муайян ва идоракунии самараноки вобастагиҳои шубҳанок тарҳрезӣ шудаанд ва бо ин васила сатҳи иловагии амниятро таъмин мекунанд.
- Тафтиши дастӣҒайр аз ин, абзорҳои автоматикунонидашударо бо санҷиши дастӣ пурра кунед, хусусан барои бастаҳои нав иловашуда ё онҳое, ки ба наздикӣ навсозиҳои назаррасро аз сар гузаронидаанд.
- Захираи фазои номҳоБарои пешгирӣ аз дуздии иттилоот аз ҷониби шахсони зараровар, бастаҳои фазои номро дар анборҳои оммавӣ сабт ва назорат кунед. Ин чораи пешгирикунанда кафолат медиҳад, ки танҳо навсозиҳо ва бастаҳои ваколатдор бо фазои номии ташкилоти шумо алоқаманданд.
Бо ҳамгироии ин стратегияҳо бо қобилиятҳои пурқуввати абзорҳои Xygeni-и мо, ташкилотҳо метавонанд дифоъи худро аз таҳдидҳои таҳаввулёбандаи чопкунӣ ва нусхабардории бастаҳо тақвият диҳанд ва амнияти умумии занҷираи таъминоти нармафзори худро беҳтар созанд.
