Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
Als een lokale partij dit mobilisatievermogen heeft, kan zij een eigen militie (paramilitaire organisatie) hebben die haar idealen deelt en onafhankelijk is van het reguliere staatsleger.
地方政黨有這種動員能力,它就可以擁有自己的民兵(準軍事組織),與其有共同意識形態,並且可以獨立於正規國家軍隊。
#Hezbollah
Although there are 4 days left until the funeral and burial of Hezbollah Secretary General Seyyed Hassan Nasrallah and Seyyed Hashem Safi al-Din, the Zionist network claims that it is not known whether Seyyed Hassan has died!
Despite senior Hezbollah officials and Seyyed's children confirming that they have seen his body, the Israeli regime has periodically claimed that he is alive. Their goal is to reduce the number of people attending the ceremony.
The Zionists are actively trying to prevent people from coming, especially from abroad. They are even afraid of his body.
#Hezbollah
Nieuws :
Hezbollah plaatsvervangend leider : Vanaf nu zal Hezbollah elk punt in Israël aanvallen, inclusief Tel Aviv. Als de oorlog doorgaat, zullen onbewoonde nederzettingen in het noorden toenemen en zullen meer dan twee miljoen Israëliërs gevaar lopen.
#Hezbollah