Brkanje zavisnostiDependency Confusion

Opis

Ako build sistem nema jasno podešen izvor paketa, proveru namespace-a, zaključane verzije i integritet, može da se desi da sam povuče zlonamerni paket. Napadač u tom slučaju ne mora da provaljuje u repozitorijum. Dovoljno je da se ubaci u neproveren lanac izgradnje softvera.

Ovo je dobar primer kako tehnička sitnica u razvojnom procesu postaje bezbednosni problem. Ime paketa, redosled izvora i podrazumevano ponašanje alata odlučuju šta ulazi u aplikaciju. Ako tu nema discipline, supply chain napad počinje pre produkcije.

Primeri

• Interni ili javni paket ima ime koje nije rezervisano na javnom registru, pa napadač objavljuje paket istog imena sa višom verzijom.
• CI pipeline tokom izgradnje povlači maliciozni umesto pravog paketa i izvršava njegov instalacioni skript.
• Ime privatne zavisnosti procuri kroz grešku, dokumentaciju ili javni repozitorijum, pa postaje meta za registraciju na javnom registru paketa.

Napomene

• Brkanje zavisnosti nije problem jednog jezika ili jednog registra. Obrazac je isti svuda gde sistem za izgradnju može da bira između privatnog i javnog izvora.
• Privatni registar, scope imena, lockfile, pinovanje verzija i provera integriteta nisu administrativni detalji, nego kontrola lanca snabdevanja.