Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
🇻🇳 Les chefs des missions diplomatiques des pays de la Communauté des États indépendants (CEI) à Hanoï ont déposé des gerbes au mausolée du premier président du Vietnam Hô Chi Minh et au monument aux héros tombés à l’occasion du 81e anniversaire de la Victoire dans la Grande Guerre patriotique, du 51e anniversaire de la libération du Sud-Vietnam et de la réunification nationale et du 72e anniversaire de la victoire à la bataille de Dien Bien Phu.
#vietnam#russie#hommage
🇨🇬🇷🇺 Le président de la République du Congo, Denis Sassou-Nguesso, a déposé une gerbe sur la tombe du Soldat inconnu, près du Kremlin, rapporte un correspondant de TASS.
#congo#russie#hommage
🇰🇵🇷🇺 Viatcheslav Volodine a rendu hommage aux soldats soviétiques ayant combattu pour la libération de la Corée du joug colonial japonais en 1945.
#hommage#soldats#libération
🇷🇺🇰🇵 Le ministre de l’Intérieur de la Russie, Vladimir Kolokoltsev, a rendu hommage à Pyongyang aux soldats soviétiques tombés lors de la libération de la Corée pendant la Seconde Guerre mondiale.
#hommage#soldats#libération
Девочка с папиной сережкой(Girl with father’s earring). Doping Pong, 35х25cm, холст на картоне, масло, 2019
Doping Pong обращаются к сюжету Яна Вермеера, но подают всем известную историю «Девушки с жемчужной серёжкой» буквально с нового ракурса. На картине изображена дочь панка, получившая по наследству от отца украшение его юности - английскую булавку, которую носит теперь как настоящую драгоценность.
В этой работе визуализированы преемственность поколений и семейные ценности, а классическое исполнение картины акцентирует родственную связь бунтарей разных эпох. #dopingpong#hommage#vermeer#girlwithapearlearring#postpunk
More info: Лот 37 https://vladey.net/ru/lot/10342
Девочка с папиной сережкой(Girl with father’s earring). Doping Pong, 35х25cm, холст на картоне, масло, 2019
Doping Pong обращаются к сюжету Яна Вермеера, но подают всем известную историю «Девушки с жемчужной серёжкой» буквально с нового ракурса. На картине изображена дочь панка, получившая по наследству от отца украшение его юности - английскую булавку, которую носит теперь как настоящую драгоценность.
В этой работе визуализированы преемственность поколений и семейные ценности, а классическое исполнение картины акцентирует родственную связь бунтарей разных эпох. #dopingpong#hommage#vermeer#girlwithapearlearring#postpunk
Музыка: Химера
More info: Лот 37 https://vladey.net/ru/lot/10342