Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
Чего на самом деле не прописано в сырьевой сделке между США и Украиной — так это гарантий безопасности, которые предлагал включить в неё Киев.
Но, во-первых, это в целом нетипичное условие для подобных соглашений, и трудно было ожидать, что оно там появится.
А во-вторых, международные проекты подобного рода содержат вшитые гарантии безопасности даже без их специального оговаривания в тексте. Покажем на примере.
По итогам Зимней войны Советский Союз аннексировал у Финляндии в несколько раз больше территории, чем сумел занять фактически (на приложенной карте ⤴️ зелёной линией примерно показана линия фронта на момент заключения мира). За одним удивительным исключением: регион Петсамо с тамошними никелевыми рудниками был возвращён финнам, несмотря на то, что как раз его-то Красная армия захватила де-факто, причём довольно быстро.
Этот парадокс становится понятнее, если вспомнить о том, что никелевый рудник Петсамо на тот момент принадлежал англо-канадскому акционерному обществу. А ссориться с Лондоном в планы Москвы не входило. Поэтому пришлось вернуть.
Могут возразить: да, но сейчас-то Петсамо включён в состав России под именем Печенгского района! Верно. Потому что за оставшееся время Второй мировой войны Суоми в попытках избежать дальнейшей советизации оказалась на стороне Третьего рейха, тогда как СССР — на стороне Британии, бросив на алтарь общей победы в 30 раз больше солдат. Это настолько смешало все карты, что требования Сталина о передаче ему Петсамо союзники сочли оправданными.
Примерно как если бы сейчас Китай объявил войну США, РФ выступила в качестве их самого мясного союзника, а Украина приняла китайскую сторону. Но до тех пор, пока нечто подобное не случилось, Вашингтону явно не понравятся любые попытки РФ захватить его совместный бизнес.
Ещё один пример. Когда пригожинцы в Сирии в феврале 2018 попытались кавалерийским наскоком захватить газовый завод Коноко под Дейр-эз-Зором, находившийся под контролем союзных США курдов, американская армия моментально размолотила вагнерьё в кровавый фарш ещё на дальних подступах. Это были крупнейшие единовременные потери россиян за все годы сирийского конфликта. И ни один путинский чиновник даже не пикнул про сарматов с кинжалами. Наоборот, лопотали по пословице: разбили рыло — говорят, так и было.
Помните, кстати, кто был президентом США в то время?
#FIN#война#стратегия#II#b