Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
Beppe #Grillo, confermano fonti vicine, ha avviato una causa per riprendersi il simbolo del Movimento 5 stelle: lui e l'associazione Movimento 5 stelle di Genova hanno notificato un atto di citazione davanti al Tribunale di Roma per rivendicare la titolarità del nome e del simbolo "MoVimento 5 stelle", prima udienza a luglio.
@UltimoraPolitics24
❗️ Beppe #Grillo: "Conte faccia il suo partito, lo chiami Oz e i 22 mandati. Io rivendico il diritto di estinzione del Movimento 5 Stelle."
@UltimoraPolitics
Brigate di cittadinanza e passamontagna, Beppe #Grillo: "Per favore, fermatevi. Era una boutade. Ma è possibile che prendete tutto sul serio?"
@UltimoraPolitics
Manifestazione a Roma contro la precarietà, Beppe #Grillo: "La battaglia sul reddito universale è l'unica da fare. Fate le brigate di cittadinanza, mettetevi il passamontagna e di notte, senza farvi vedere, fate i lavoretti, sistemate i marciapiedi. Reagite!"
@UltimoraPolitics
Beppe #Grillo è stato condannato per diffamazione verso una parlamentare Pd, Cinzia Capano, che era stata ricoverata d'urgenza per un malore nel maggio 2011 e che era stata accusata dal fondatore del M5s di aver disertato l'Aula per boicottare il referendum sull'acqua. Le motivazioni: “La critica non si basi su una menzogna”
@UltimoraPolitics
#Italia
Beppe #Grillo (M5S): "Basta balle sull'energia nucleare. Non sono energia verde, ma marrone. Una centrale emette 250.000 tonnellate di CO2 l'anno, anche se non ne emette nel momento in cui produce energia."
@UltimoraPolitics
Beppe #Grillo e l'armatore Onorato verso il processo per traffico di influenze.
La chat del fondatore #M5S: "Ho attivato Di Maio e Toninelli" (Open)
@UltimoraPolitics
LaPresse - Il garante del #M5S, Beppe #Grillo, è tra gli ospiti del ricevimento organizzato dal nuovo ambasciatore cinese in Italia, Jia Guide, entrato in carica lo scorso gennaio. Grillo è arrivato poco fa a Villa Miani, a Roma, dove si tiene la festa in onore del diplomatico
@UltimoraPolitics