Vlákno názorů k článku
Zatímco se řešily chyby v PHP, útočníci propašovali malware do oblíbené open-source knihovny od Jarda_B - Nedá se nic dělat. Publikace balíčků nebude moct...

Nedá se nic dělat. Publikace balíčků nebude moct být okamžitá, ale bude tam poviné zpoždění např. 30-60 minut. Někteří vývojáři už dobrovolně nastavují, aby se sami neinstalovaly balíčky, které jsou veřejné méně, než 24 hodin.

Naopak, zpoždění se dělá mezi publikací a konzumací balíčku. Dnes už se v některých nástrojích běžně nastavuje, že balíček musí být publikován X hodin, než ho balíčkovací nástroj v rámci aktualizace stáhne.

Zdržovat publikaci nemá smysl – naopak je potřeba, aby po publikování balíček prohlédly nezávislé nástroje, které jej případně mohou označit za podezřelý nebo vadný.

Ten odklad automatické aktualizace ale samozřejmě komplikuje situace jako byla ta oprava PHP, kde naopak bylo potřeba aktualizovat co nejdřív. Ale doufám, že chyby, jako byla v PHP, se s pomocí AI během pár měsíců nebo let najdou a vyřeší, a další podobné už se podaří odchytávat ještě během vývoje. Ne že by to znamenalo, že bude software bezchybný. Ale snad v něm nebudou chyby, které je schopen někdo zneužít během pár minut.

Jo, v podstatě tak jsem to myslel. Ale lépe jste to popsal.

Já bych si uměl představit, že by tam byl nějaký override, který by tu bezpečnostní dobu mohl eliminovat. Ať už např. nějaký force flag na straně uživatele nebo nějaká nezávislá důvěryhodná třetí strana, která se za to zaručí.

Nevýhoda v tom okamžitém zveřejnění a odložené konzumaci může být, že někdo nechá běžet AI roboty, co budou vyhodnocovat komity na zranitelnosti, tak pak budou mít garantované např. 24h okno pro útok. :-|

Nevýhoda v tom okamžitém zveřejnění a odložené konzumaci může být, že někdo nechá běžet AI roboty, co budou vyhodnocovat komity na zranitelnosti, tak pak budou mít garantované např. 24h okno pro útok. :-|
Ale o to právě jde. Zveřejní se nová verze balíčku. Pustí se do ní good guys a bad guys a hledají zranitelnosti, škodlivý kód apod. Ale nikdo ty balíčky reálně nepoužívá, protože jsou moc čerstvé. Takže bad guys nemají na koho útočit. Balíčky se začnou na cílových systémech (u vývojářů, v CI/CD buildech) aktualizovat třeba až za 24 hodin – a spoléhá se na to, že pokud by tam byl problém, good guys ho mezi tím najdou a dojde třeba k odstranění balíčku s repozitáře.

Třeba Deno na to má konfigurační volbu minimum-dependency-age, která je defaultně (v novějších verzích) právě těch 24 hodin. npm má min-release-age, bun má minimumRelease­Age.

Možnost to přetížit vždycky je, přinejhoším ten čas nastavíte na nulu. Jenže to se musí udělat ručně. Ale jiná cesta asi nebude.

To ano, ale já myslel jiný aspekt. Např. Když někdo zveřejní opravu na 10 let starou chybu. Nemusí být lidem zřejmé na první pohled, co ten kód má měnit. Ale chytrý a rychlý AI agent může identifikovat opravu zranitelnosti a do hodiny udělat exploit, ale pak by měl garantované 23h okno na šíření.

A pak je i možné, že ani po 24 hodinách si nikdo nevšimne úmyslné nebo neúmyslné chyby a bude tam třeba tři roky. Ale věřím, že s AI se ta detekce zlepší.

Ono by bylo také fajn kdyby balíčkovací nástroje měli v defaultu zapnuté toto pozdržení. Ne každému tento problém dojde a žádné llm pokud vím tohle nevynutí..