Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
🖼 Trending now: #Tradewars - Trump says higher tariffs on China “won’t be acceptable” to Beijing. #Macro#USChina
🇺🇸 總統川普表示,更高的對中關稅「將無法被中國接受」,同時強調美國的「天然氣、食品與能源價格已明顯下降」。
市場關注其貿易與能源言論對全球政經局勢的潛在影響 #Insight
@EthereumGlobalNews Follow for more global Web3 & DeFi updates!
🖼 Trending now: #Tradewars - Trump to meet with Xi on Oct. 30, per White House. #GlobalMarkets#Geopolitics
🇺🇸🇨🇳 白宮確認,前總統川普將於 10 月 30 日與中國國家主席習近平會面。
市場關注此次會談是否為中美貿易關係帶來緩和契機,並影響全球經濟走向。 #Insight
@EthereumGlobalNews Follow for more global Web3 & DeFi updates!
Hong Kong conglomerate *CK Hutchison is facing intense scrutiny over its controversial Panama ports deal. The company sold two strategic ports in the Panama Canal to a *BlackRock-led consortium, sparking backlash from Beijing and Panama’s government.
Chinese authorities have accused CK Hutchison of betraying national interests, while Panama’s top auditor has alleged financial misconduct, claiming the company failed to obtain necessary approvals and owes millions in dues. The deal, initially expected to be finalized in April, now faces delays due to political pressure and legal challenges.
#CKHutchison#PanamaPorts#Geopolitics#China#HongKong#BlackRock#TradeWars
香港企業 長江和記(CK Hutchison)因其巴拿馬港口交易面臨巨大爭議。該公司將 *巴拿馬運河* 兩個戰略港口出售給 BlackRock領導的財團,引發北京和巴拿馬政府的強烈反對。
中國當局指責長江和記出賣國家利益,而巴拿馬最高審計官則指控該公司存在財務不當行為,聲稱其未獲得必要批准,並拖欠數百萬美元的款項。該交易原定於四月完成,但因政治壓力和法律挑戰而面臨延遲。
#長江和記#巴拿馬港口#地緣政治#中國#香港#BlackRock#貿易戰