Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
#Intelligence: Secondo una denuncia presentata da un whistleblower, la National Security Agency (NSA) ha intercettato una telefonata tra un funzionario dell’intelligence straniero e una persona vicina a Donald Trump.
La Direttrice dell’Intelligence Nazionale Tulsi Gabbard, appresa la notizia, invece di permettere alla NSA di condividere l'informazione, l’ha secretata consegnandola nelle mani del Capo di Gabinetto (Chief of Staff) di Donald Trump, Susie Wiles. Il giorno dopo l’incontro con Wiles, Gabbard ha dato ordine alla NSA di non pubblicare il report d'intelligence e di consegnarlo direttamente al proprio ufficio.
Il 17 aprile, il whistleblower ha contattato l’Ispettorato Generale per denunciare il blocco voluto da Gabbard, presentando una denuncia formale il 21 maggio. Dopo 14 giorni, il 6 giugno, l’Ispettrice Generale Tamara Johnson ha archiviato il caso affermando di “non poter determinare se le accuse fossero o meno credibili”.
Johnson ha inoltre stabilito che la denuncia avrebbe potuto essere presentata al Congresso solo dopo che il Direttorato dell’Intelligence Nazionale avesse fornito indicazioni su come farlo. Da allora, per otto mesi, la denuncia è rimasta chiusa e secretata o, come scritto dal Wall Street Journal, chiusa in una cassaforte.
Secondo alcuni parlamentari sentiti dal Guardian, inoltre, l’ufficio dell’Ispettrice Generale sarebbe compromesso da quando Gabbard avrebbe nominato un proprio assistente all’interno della struttura, Dennis Kirk, due settimane dopo il primo contatto tra il whistleblower e l’ufficio in questione. Kirk è uno degli autori del Project 2025.
Secondo l’Ufficio della Direttrice Nazionale, il report non è stato condiviso con il Congresso perché l’Ispettrice non avrebbe informato Gabbard degli obblighi di legge. Ma la versione non convince gli esperti sentiti dal Guardian, secondo cui questo caso dimostra come Gabbard non sia in grado di gestire dossier così importanti e sensibili come quelli d'intelligence. I membri della Gang of Eight, invece, si sono divisi tra chi ha criticato il comportamento di Gabbard e chi ha messo in dubbio la credibilità della denuncia.
La Gang of Eight ha ottenuto una versione della denuncia fortemente censurata, poiché Gabbard ha voluto esercitare il “privilegio esecutivo”, una sorta di autorità che viene invocata quando il Presidente è coinvolto e vuole proteggersi dalle azioni del Congresso.
#Intelligence, #Iran: Gabbard ha modificato la propria testimonianza, cambiando e omettendo delle parti rispetto al discorso scritto che il suo ufficio aveva pubblicato.
Ad esempio, ha omesso la parte in cui riteneva che l'Iran non avesse cercato di ricostruire le proprie infrastrutture per arricchire l'Uranio. Quando il Vicepresidente della Commissione Mark Warner (D-Virginia) le ha domandato per quale motivo ha saltato alcune porzioni del discorso preparato, ha risposto che lo ha fatto per tagliare i tempi del discorso. Una giustificazione che non ha convinto Warner che ha sottolineato come le parti omesse sono quelle che "contraddicono il Presidente."
Tuttavia, Gabbard ha confermato che il regime iraniano "appaia intatto ma ampiamente deteriorato".
#Iran, #Intelligence: Nella sua dichiarazione al Senato, Tulsi Gabbard ha dichiarato che "Come risultato dell'Operazione Midnight Hammer, il programma di arricchimento dell'uranio è stato obliterato. Non ci sono stati tentativi, da allora, di ricostruirlo."
Questa dichiarazione, però, smentisce quanto dichiarato a più riprese da Donald Trump, secondo cui la minaccua nucleare era imminente.
#Iran, #Intelligence: Secondo quanto riporta Erin Bianco (Reuters), la CIA avrebbe valutato che in caso di morte di Khamenei, il ruolo di Guida Suprema verrebbe assunto da membri estremisti delle Guardie Armate della Rivoluzione.