At קסיגעני, מיר זענען געווען פארנומען איבער די לעצטע יאָר צו אימפּלעמענטירן אַן אַלגעמיינע סיסטעם וואָס מאָניטאָרט עפנטלעכע אָפֿן-קוואַל פּעקל רעגיסטריז פֿאַר פֿאַרדעכטיקע טעטיקייט אָדער אינהערענט בייזוויליקן קאָד.
די אינפראַסטרוקטור ערלויבט אונדז צו אַנאַליזירן אין פאַקטישער צייט אַלע פּעקלעך וואָס ווערן פאַרעפֿנטלעכט טעגלעך. אויך, ערלויבט עס אונדז צו מאָניטאָרירן אַנאַמאַלע באַניצער נאַטור.
כאָטש די אנוועזנהייט פון בייזוויליקע קאָד אין פּעקל רעגיסטריז איז באַקאַנט, עס זענען דא אנדערע מאָדנע אָדער ומגעוויינטלעכע נאַטורן וואָס גייען גאָר נישט באַמערקט דורך די רעגולערע באַניצער פון די רעגיסטריז. אפילו פֿאַר די פון אונדז וואָס האַלטן אַ נאָענט אויג אויף זיי, איז עס נישט גרינג צו געפֿינען אַ סיבה אָדער דערקלערונג פֿאַר אַזאַ נאַטור.
וואָס כאַראַקטעריזירט די Xygeni מאַנשאַפֿט איז אונדזער אָנהאַלטנדיקייט ווען מיר שטייען אַנטקעגן אַ פּראָבלעם, אַזוי מיר האָבן זיך טיפֿער אַרײַנגעגראָבן אין דעם.
עס האָט זיך אַלץ אָנגעהויבן מיט אַ סטאַטיסטיק שפּרונג
ווי איך האָב פריער דערמאָנט, אַלס טייל פֿון אונדזער אינפֿראַסטרוקטור, מאָניטאָרן מיר פֿיל אַקטיוויטעט מעטריקס אין עפֿנטלעכע אָפֿן-קוואַל פּעקל רעגיסטריז.
אין די לעצטע טעג פון מערץ, האט מיין ארבעטס קאלעגע קארמען אויפגעהויבן דעם שרעק. מיר האבן אנגעהויבן באמערקן א באדייטנדע אפנייגונג אין די צאָל פּאַקאַדזשאַז פאַרעפֿנטלעכט אויף NPM. נאך אן ערשטן איבערבליק, האבן מיר געפונען אז די אפווייכונג איז געווען הויפטזעכליך צוליב א רעלאטיוו קליינער צאל באניצער וועמענס פעקל פובליקאציע ראטע איז פלוצלינג ארויף אין הימל.
דאָס האָט אונדז געפֿירט צו איבערקוקן אונדזער פּראָצעס און די פֿאַרבונדענע דאַטן אין דער פּלאַטפֿאָרמע. צומ גליק, האָט אונדזער איבערקוק באַשלאָסן אַז די דאַטן האָבן אויסגעזען ריכטיק, אָבער דאָס איז אויך געווען עפּעס פֿאַרפּלעקסנדיק!
נאך א ווייטערדיגע דורכקוק, האבן מיר געפונען אז די פעקלעך האבן געהאט עטליכע געמיינזאמע אייגנשאפטן:
- די ארויסגעבער זענען געווען ניי-געשאפענע באניצער, נישט מער ווי איין אדער צוויי חדשים אלט העכסטנס.
- די פּעקלעך האָבן געהאַט לכאורה צופֿעליקע נעמען, מסתּמא גענערירט דורך ניצן אַ ווערטערבוך. מיר קענען געפֿינען פּעקל נעמען מיט מאָדנע נעמען ווי ענאָרעמאַס_מייט-שמייכלטי, עריק-מאַנגוט94-סוקיוויר, עקזאָטיש_רעפּטיל-אַפּטעאַדעוו or קלאָרע_טונאַ-אַפּטעאַדעוומיר וועלן אַרייננעמען אַן אַפּענדיקס מיט עטלעכע ביישפילן פון די אַסעטן וואָס מיר האָבן געפֿונען.
- דער אינהאַלט פֿון די פּעקלעך איז געווען זייער ענלעך, אָפֿט די זעלבע.
אין דעם קאנטעקסט, האבן מיר באמערקט אז איינע פון די פעקלעך האט אנטהאלטן א פּיטהאן סקריפּט, מעגלעך דורך צופאַל, וואָס שיינט צו ווערן גענוצט צו פאַרעפֿנטלעכן די פּאַקאַדזשאַז אויטאָמאַטיש.
אויפדעקן דאָס נעץ
די פובליקאציע טעטיקייט פאר עטלעכע פון די ארויסגעבער אין די לעצטע חודש איז דורכגעפירט געווארן לויט די פאלגנדע צייט-ליניע טשאַרט:
דאָ זענען די פולע סטאַטיסטיק וועגן דעם געשעעניש וואָס מיר קענען טיילן:
גאָרנישט באַטייַטיק איז אַרויסגעקומען פֿון דער יחידישער איבערבליק פֿון עטלעכע פֿון די פּעקלעך פֿאַרבונדן מיט די באַניצער. דאָס האָט אונדז געפֿירט צו אַנאַליזירן דאָס אַלגעמיינע בילד פֿון זיי אַלע, זוכנדיק מוסטערן וואָס קענען געבן רמזים וועגן דעם הצלחה.
סוף־כל־סוף, מיר האָבן אַ גוטע האַנטפול פּעקלעך צו אַנאַליזירן:
דאָס זענען די הויפּט פּונקטן וואָס מיר קענען אַרויסהייבן פֿון דער אַנאַליז:
- אסאך פון די NPM פּעקלעך זענען פֿאַרבונדן מיט אַנדערע. עטלעכע ווערן באַצייכנט ווי אָפּהענגיקייטן פֿון אַנדערע.
- כאָטש זיי זענען מאָדנע פּעקלעך און מסתּמא ווייסט קיינער נישט וועגן זייער עקזיסטענץ, האָבן עטלעכע אַ סך וועכנטלעכע דאַונלאָודז. עס איז שווער צו אָננעמען אַז אַ נאָרמאַלער באַניצער זאָל וועלן דאַונלאָודן פּעקלעך ווי... 0mc03esisd.
- עטלעכע האָבן פֿאַרבונדענע רעפּאָזיטאָריעס. מאַנטשמאָל דערשייַנען די אייגנטימער פֿון די רעפּאָזיטאָריעס צו זײַן פֿאַלשע אַקאַונטס, ענלעך צו די אויף npm.
באַמערקונג: באַניצער לאָדן אַרויף נאָך פּאַקאַדזשאַז אין כוואַליעס, אַזוי די צוגעשטעלטע דאַטן קען זיין אַ ביסל אַנדערש.
דאָס איז אַ בייַשפּיל פֿון איינעם פֿון די פֿאַרבונדענע רעפּאָזיטאָריעס. עס כּולל דעם קאָד פֿון עטלעכע פֿון די פֿאַרעפֿנטלעכטע פּאַקאַדזשאַז. אויך עטלעכע אַנדערע טעקעס, ווי אַ טיי.יאַמל טעקע.
טרעפֿן די אַקטיאָר(ן)
צי דאָס איז די אַרבעט פֿון איין מחבר אָדער פֿון קייפל מיטאַרבעטער איז שווער צו באַשטימען. אָבער, מיר האָבן יאָ עטלעכע באַווײַזן וואָס פֿאַרענגערן דעם אָנהייב פֿון דער אַקטיוויטעט:
- שפּראַך: געוויסע באַמערקונגען אין דעם קאָד זענען אין אינדאָנעזיש.
- לאקאציע: געוויסע אייגענטימער פון די פארבונדענע רעפאזיטאריעס ווייזן אן זייער לאקאציע אין אינדאנעזיע.
- די לאקאציע וואס מיר קענען אידענטיפיצירן דורך די טעטיקייט מעטאדאטן אויף גיטהאב ווייזט אויך אויף אינדאנעזיע.
פינף אַקלאַק טיי
געגעבן אַז אינדאָנעזיע איז געווען אַ בריטישע קאָלאָניע, וואָלט עס דאָ פּערפֿעקט געפּאַסט צו טרינקען טיי. אָבער, אין דעם פֿאַל, איז עס אַ גאַנץ ספּעציעלע סאָרט טיי.
צי איר געדענקען די טיי.יאַמל טעקעס וואָס מיר האָבן געזען אין אָנהייב? אין יענער צייט האָבן מיר נישט געוויזן זייער אינהאַלט, אָבער עס האָט אויסגעזען אַזוי:
די טעקעס זענען לכאורה פארבונדן מיט די טיי פּראָטאָקאָלאבער וואָס פּונקט איז עס? מיר האָבן דערגרייכט https://tea.xyz/blog/250k-grant-for-open-source-developers, וואָס רעדט וועגן דעם ציל:
טי שאקלט די דיגיטאלע וועלט דורך זיך אפגעבן מיט דעם לאנגיעריגן פראבלעם פון נישט גענוגיקע באצאלונג פאר אפען-קוואל דעוועלאפערס. לייזן דעם פראבלעם איז מער דרינגענד ווי אלץ, דעריבער האבן מיר באשלאסן צו באצאלן $250K אין גראנטס פארן לאנטשירן דעם פראטאקאל. די ערשטע שטאפל האט ציל צו שטיצן די וואס האלטן אפען-קוואל פראיעקטן וואס האבן א מאטעריעלע ווירקונג אויף דער אפען-קוואל ווייכווארג עקאסיסטעם און א טי-ראנג גרעסער ווי 30 פאראויס פון דעם טי-פראטאקאל אינסענטיוויזירטן טעסטנעט.
לויט די טיי פּראָטאָקאָל דאָקומענטן:
"כדי אַ פּראָיעקט זאָל רעגיסטרירט ווערן אויפן טי פּראָטאָקאָל דאַרף מען אַ tea.yaml טעקע, וואָס דינט ווי די קאָנסטיטוציע פונעם פּראָיעקט, צו רעגולירן די צאָל ביישטייערער און די צאָל שטימען וואָס זענען נויטיק צו דורכפירן געוויסע אַקציעס."
נאכדעם וואס מיר האבן זיך אריינגעלאזט אין די טיי נעטווארק האבן מיר פרובירט צו געפינען איינע פון די פעקלעך וואס מיר פארדעכטיגן אז זי ווערט אויפגעבלאזן מיט איר רעפוטאציע. מיר האבן עס געפונען:
דאָס מיינט צו דערקלערן וואָס גייט דאָ אָן: געוויסע באַניצער וואָס בלאָזן אויף זייערע אָפֿן-קוואַל פּראָיעקטן מיט אויסגעטראַכטער פּאָפּולאַריטעט כּדי צו כאַפּן דעם טי-ראַנק און באַקומען די בענעפיטן וואָס די טי-אַסאָציאַציע גיט. סוף-כּל-סוף, געלט איז די עלטסטע טרייבקראַפט, צוזאַמען מיט סעקס.
מסקנא און לעצט געדאנקען
כאָטש קיין באַווייַז פון בייזוויליקן קאָד איז נישט געפֿונען געוואָרן אין די NPM פּאַקעטן, און זיי האָבן מסתּמא נישט בדעה געהאַט אַז ווער עס יז זאָל זיי נוצן, קענען זיי פּאָטענציעל פֿאַרלעצן עטלעכע תּנאים פון סערוויס (TOS) פון NPM, GitHub, אָדער די טיי אַסאָסיאַציע. אָבער, דאָס פֿאַלט אַרויס דעם ראַם פון אונדזער אַרבעט (זיי זענען אָבער געוואָרן געוואָרנט און די אַקציעס וואָס זיי האַלטן פֿאַר פּאַסיק וועלן גענומען ווערן). די אַביוזיוו נוצן פון די פּלאַטפאָרמעס וועט אונדז און אונדזער אָרגאַניזאַציעס אין עפּעס אַ וועג אַפֿעקטירן.
וואָס איז קלאָר איז אַז יעדע לכאורה אומשולדיקע אָפֿן-קוואַל פּעקל קען אַנטהאַלטן נאַטורן וואָס זענען שווער צו פֿאַרשטיין אָן פולשטענדיק קאָנטעקסטואַל אינפֿאָרמאַציע.
אלס א דעוועלאפער, געפין איך עס שווער צו קאנטראלירן מאנועל אלע אפען-קוואל פעקלעך גענוצט אין די אפליקאציעס וואס מיר אנטוויקלען און אויפהאלטן מיט א געוויסן שטאפל פון זיכערהייט. אן דער הילף פון א געצייג וואס אויטאמאטיזירט די קאנטראל, קען די אויפגאבע פארנוצן אומצאליגע שעה פון אונזערע טימס.
עס איז שטענדיק דא די מעגלעכקייט צו קוקן אויף דער אנדערער זייט, און גלייבן אז די אפענע-קוואל וועלטן זענען זיכערע ערטער. צומ גליק, גלויב איך אז די דאזיגע געדאנקענגאנג איז נישט זייער פארשפרייט היינט; דער פאל איז געווען כמעט אומשעדלעך, אבער מיר האבן לעצטנס דערלעבט א פיל ערנסטערן אינצידענט מיט דעם. XZ Backdoor, און עס איז נישט געווען די איינציגסטע.
אויב איר האָט שוין ביז אהער געלייענט, האָף איך אַז איר האָט הנאה געהאַט פון אַלע די קאָמפּליצירטקייטן פון דעם אינטערעסאַנטן געשעעניש. פֿאַרגעסט נישט צו פֿאַרברענגען אַ פּאָר מינוט איבערקוקנדיק וואָס Xygeni קען ביישטייערן צו דער זיכערהייט פֿון אייער אָרגאַניזאַציע.
אַפּענדיקס: ליסטע פון פֿאַרבונדענע רעסורסן צו אַרייננעמען אין דעם לעצטן אַרטיקל
NPM מער באַטייַטיקע באַניצער באַזירט אויף דער צאָל פון פאַרעפֿנטלעכטע פּאַקאַדזשאַז: vndra, wanzaty, artknight404, seblakkuah, מיקראָסיטער, kellyman17
א קליין ביישפּיל פון זייערע פֿאַרבונדענע פּעקלעך: מיקראָסיטער, קרינדעקס, arts-dao, seblakkuah, vndrabnb, vndrave, depfif, depsik, depeit, depnin, Dopon, kellymanteasproject.
עטלעכע פון די פארבונדענע גיטהאב רעפאזיטאריעס וואס אנטהאלטן tea.yml טעקעס:
