Хоча копії пакетів та помилки в опечатках є пов’язаними поняттями, вони не є однаковими. Обидва поняття передбачають обманливу тактику, щоб обманом змусити користувачів завантажити шкідливе програмне забезпечення, але роблять це дещо по-різному. Ось детальне пояснення кожного з них:
Типоскватінг
Типосквотинг передбачає реєстрацію доменних імен або назв пакетів, дуже схожих на легітимні, часто відрізняючись лише друкарською помилкою. Мета полягає в тому, щоб обдурити користувачів, які помиляються під час введення URL-адреси або назви пакета, перенаправивши їх на шкідливі сайти або програмне забезпечення замість тих, що були передбачувано легітимними.
приклад:
Легітимний пакет: експрес.
Варіанти пакетів з помилками: експрес (без літери «с»), експреси(зайві літери «с»), or експрес (подвійна літера «е»).
Реальний випадок з помилками при опечатці:
У листопаді 2018 року дослідники безпеки виявили та видалили з екосистеми NPM шкідливий пакет JavaScript під назвою flatmap-stream. Зловмисник впровадив цю зловмисну модифікацію в цей пакет, а потім додав її як пряму залежність від популярного пакета event-stream. Користувачі завантажили цю шкідливу версію flatmap-stream майже 8 мільйонів разівРозробники, які використовували скомпрометований пакет event-stream, ненавмисно наражали себе на ризик зараження шкідливим кодом.
Тут основна увага приділяється незначним орфографічним помилкам або варіантам, що використовують поширені помилки друку.
Пакети-копії
Пакети-копії передбачають створення шкідливих пакетів, які імітують популярні та легітимні. Зокрема, ця імітація може виходити за рамки незначних орфографічних помилок і також може включати схожі назви, описи, документацію та функціональність, щоб шкідливий пакет виглядав легітимним та надійним.
приклад:
Легітимний пакет: лодаш
Варіанти пакетів-копій: lodashjs, lodash-інструменти, або навіть пакет з такою ж назвою, але завантажений іншим автором у менш безпечний репозиторій
Реальний випадок:
Розглянемо популярний застосунок Laravel з відкритим кодом на основі PHP під назвою laravel-realworld-example-app. Цей застосунок містить реальні приклади (операції CRUD, автентифікація, розширені шаблони тощо) специфікації RealWorld API. Хоча легітимний пакет слугує як еталон, пакет-копія може імітувати його, використовуючи подібну назву (наприклад, laravel-realworld-example-apps або laravel-realworld-examples). Такі копії пакетів можуть містити схожий функціонал, описи та навіть документацію, обманом змушуючи розробників використовувати їх замість автентичної версії.
Акцент тут робиться на ширшій імітації, яка включає не лише назви, а й аспекти презентації та функціональності легітимного пакета.
Ключові відмінності
Фокус:
Типосквотинг в першу чергу спрямований на виправлення друкарських помилок, допущених користувачами.
Пакети-копії мають на меті ширше імітувати легітимні пакети, потенційно включаючи схожі назви, описи та функціональність.
Сфера імітації:
Типосквотинг зазвичай передбачає незначні зміни в назві пакета.
Пакети-копії можуть містити більш повну імітацію, що робить їх ще переконливішими.
перекриватися
Ці дві концепції перетинаються, оскільки пакети з помилками друку можна вважати підмножиною пакетів-копій. Обидві тактики спрямовані на те, щоб обдурити користувачів та змусити їх встановити шкідливе програмне забезпечення, але помилки друку експлуатують поширені помилки друку, тоді як пакети-копії можуть використовувати ширший спектр стратегій імітації.
Стратегії пом'якшення
Для ефективного захисту від помилок у написанні тексту та копіювання пакетів організаціям слід застосовувати багатогранний підхід, який поєднує традиційні стратегії та передові рішення, такі як наші. КсігеніOpen Source Security Рішення. Ось ключові стратегії для зменшення цих ризиків:
- Використовуйте надійні джерелаПерш за все, завжди завантажуйте пакети з перевірених та перевірених джерел або офіційних репозиторіїв, щоб переконатися в їх автентичності.
- Закріплення залежностейКрім того, закріплюйте залежності до певних, перевірених версій, щоб забезпечити узгодженість та безпеку в усіх ваших розгортаннях.
- Автоматизовані інструментиКрім того, використовуйте автоматизовані інструменти, такі як Xygeni, для ефективного сканування та позначення підозрілих пакетів. Розширені можливості виявлення Xygeni розроблені для ефективної ідентифікації та управління підозрілими залежностями, забезпечуючи таким чином додатковий рівень безпеки.
- Перевірка вручнуБільше того, доповніть автоматизовані інструменти ручною перевіркою, особливо для нещодавно доданих пакетів або тих, які нещодавно зазнали значних оновлень.
- Резервування простору іменЩоб запобігти захопленню зловмисниками, реєструйте та контролюйте пакети простору імен у публічних репозиторіях. Цей проактивний захід гарантує, що лише авторизовані оновлення та пакети будуть пов’язані з простором імен вашої організації.
Інтегруючи ці стратегії з потужними можливостями наших інструментів Xygeni, організації можуть зміцнити свій захист від загроз, що постійно змінюються, таких як помилки в оригіналі та копіювання пакетів, підвищуючи загальну безпеку свого ланцюга постачання програмного забезпечення.
