Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
🔺Xullas, 2024-yil kirib keldi, siz o'z vadalaringgiz va maqsadlaringgizni esdan chiqarmadinggizmi?
🔺Agar esdan chiqarmagan bo'lsanggiz izohlarga oldinggizga qanday maqsadlar qo'yganggizni yozib qo'ying, ha aytgancha ularni bajarish uchun birinchi qadamni qo'ydingizmi...
🗣️#maqsad
2025-yilga maqsadlar > Tub burilish
Maqsad kishini olgʻa intilishiga sabab boʻlishi mumkin, agar unda shijoat va maqsad sari harakat qilsa... 2024-yil boshida oʻylagan, baʼzilarini yozgan maqsadlarimga deyarli yetdim. Menimcha erisha olmagan maqsadlarim yoʻq ekanki, uni eslay olmadim...
Chet tillari oʻrganish boʻyicha ham 6-7 oycha oʻqib, toʻxtatib qoʻydim, ishlar bilan boʻlib, kelgusi yilda chet tillariga koʻproq eʼtibor qaratishim ham mumkin.
Hozircha aniq maqsad qoʻyib olishga shoshilmayapman. Balki, toʻliq biznesga oʻtib ketishim, dizaynni tark etishim ham mumkin. Doimo hayotimda tub burilishlar qilib kelganman va bundan afsuslanmayman)
Tub burilishlar sababli topganlarim ham koʻp boʻldi. Yaʼniki yuqori masʼuliyatli loyihalarni ishonib topshirishdi. Masʼuliyatni boʻynimga oldim! Ancha qiynab ham qoʻydim oʻzimni, stressga tushdim, orada sogʻliqda muammolar boʻlib, shifoxonaga ham tushib chiqdim...
Xullas, ishonib topshirilgan vazifaga qay holatda boʻlsa ham, ishlab berdim. Toʻgʻrisini aytganda, masʼuliyati ancha ogʻir ekan, sababi dizayndan tashqari katta masʼuliyatlarni ham boʻynimga olgan edim... Qisqasi, 2024-yil karyeram uchun ajoyib yil boʻldi desam ham boʻladi.
2025-yilda hayotimda yana ham katta oʻzgarishlar qilishga harakat qilaman, nasib boʻlsa)
@suxrobblog — #maqsad#tub_burilish
#yuksalish#maqsad#natija
⚡Bugun shogirdim Boymurod Yunusov bilan yangi dizayn o'rgandik, o'ziga yarasha mehnati bor, lekin tushungan odam zavqlanib ishlaydi.
@ik_design👈👉@isakovxusniddin
💰 Orzu kutiladi.
Maqsad esa har kuni tanlanadi.
Agar bugun charchagan bo‘lsang ham,
agar hozir natija ko‘rinmayotgan bo‘lsa ham —
to‘xtama.🌟
🌟 Chunki maqsadga yetadiganlar
eng tez yurganlar emas,
eng bardoshli bo‘lganlardir.
Bugun o‘zingdan voz kechma.
Ertangi sen buning uchun rahmat aytadi. 🌟
#Maqsad#Intizom#Doimiylik#Osish#AyollarUchun
🌟@Milliarderlarim