Lühidalt: GitHub kehtestab automaatsete paketiuuenduste jaoks 72-tunnise viivituse, PyPI aga blokeerib pärast 14 päeva möödumist failide üleslaadimise vanematesse versioonidesse.
GitHub ja PyPI rakendavad viivitusmehhanisme, et pidurdada manipuleeritud tarkvarapakettide levikut. Mõlemad platvormid reageerivad sellega dokumenteeritud tarneahela rünnakutele, nagu chalk, debug ja s1ngularity.
GitHub aktiveerib Dependabotis vaikimisi 72-tunnise viivituse enne automaatseid paketiuuendusi. Tähtaega saab konfiguratsioonivaliku cooldown kaudu individuaalselt kohandada. Mehhanismi eesmärk on ületada ajavahemik pahatahtlike pakettide avaldamise ja avastamise vahel – senised turbetööriistad on kahjulikke npm-pakette küll sageli tuvastanud mõne minuti jooksul, kuid kuni platvormihaldurite käsitsi eemaldamiseni on jäänud ajaaken nakatumiseks.
Python Package Index (PyPI) blokeerib tagantjärele uute failide lisamise pakettide väljaannetele, mille avaldamisest on möödunud üle 14 päeva. See reegel takistab ründeid, mille puhul ründajad kasutavad kompromiteeritud juurdepääsuandmeid, et lisada tagantjärele pahavara vanematesse, usaldusväärsetesse versioonidesse. Platvormi analüüsi kohaselt ei laadi arendajad tüüpilistes stsenaariumides kahe nädala möödudes enam olemasolevatesse versioonidesse midagi üles.
Need kaks meedet käsitlevad ühtlasi erinevaid ründevektoreid: kui GitHubi viivitus on suunatud massiliselt avaldatud uute pakettide vastu, siis PyPI üleslaadimisblokaad kaitseb väljakujunenud ja hea mainega väljaannete kompromiteerimise eest. Mõlemad mehhanismid tõstavad künnist kiirete nakatumislainete jaoks.
Lisaks soovitab GitHub arendajatel fikseerida sõltuvused lockfailide abil, kasutada piiratud õigustega tokeneid ning keelata CI-süsteemides tarbetud installiskriptid. Need meetmed vähendavad rünnatavat pinda sõltumata platvormipoolsetest viivitustest.
Allikas: www.it-daily.net · Avaldatud 27. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.