Як пояснити Dependency Confusion Attack в англійській мові

Атаки з плутанини залежностей концептуально прості, але легко пояснити погано, тому що атака використовує збіг імен, а не традиційну вразливість. Отримання правильного словника допомагає інженерам, які не займаються безпекою, зрозуміти, чому «ми просто потребуємо приватного пакунку» насправді не є цілим рішенням.

Ключовий словник

** Залежність від плутанини ** — атака ланцюга постачання, коли атакуючий публікує шкідливий пакунок у публічному реєстрі за допомогою тієї ж назви, що і внутрішній, приватний пакунок, використовуючи менеджери пакунків, які можуть надавати перевагу публічній версії залежно від налаштувань. “Це не були порушені дані або вразливість коду — це була плутанина залежностей. Хтось опублікував публічний пакунок з точно такою ж назвою, як і наш внутрішній @company/auth-utils пакунок, і наша збірка витягла публічний.”

Колізія простору назв — основна умова, яка робить можливим плутанину залежностей: внутрішня назва пакунка, яка не є зарезервованою або не має достатньо унікального обсягу, щоб запобігти зовнішньому учаснику від публічної реєстрації ідентичної назви. “Головною причиною є зіткнення простору імен — ми публікували внутрішні пакунки під загальними, невідомими назвами, що означає, що нічого не завадило комусь зареєструвати ту ж назву в публічному реєстрі npm.”

Перевага у розв’ язанні — особливе правило, яке використовує менеджер пакунків для визначення реєстру, з якого буде завантажено пакунок, якщо назва існує у декількох місцях, що є точним механізмом, який використовується атакою, і точним питанням, яке має бути вирішено за допомогою виправлення. “Видалення не просто опублікування нашого внутрішнього пакунка — це виправлення порядку розв’язання, тому наш менеджер пакунків явно налаштований так, щоб завжди віддавати перевагу нашому приватному реєстру для всього, що знаходиться в нашому обсязі, а не повертатися до публічного.”

** Назва пакунка з обсягом** — назва пакунка з префіксом, що відповідає простору імен організації (наприклад, @yourcompany/package-name ), що є стандартним способом запобігання, оскільки назви з обсягом можуть бути зарезервовані і не можуть бути зареєстровані не пов’ язаною стороною у публічному реєстрі. “В дальшому, кожен внутрішній пакунок потребує назви пакунка з обсягом під нашим резервованим простором імен організації — це одне закриває конкретний збіг імен, на який покладалася ця атака.”

Звичайні фрази

• «Це не був компроміс у реєстрації — це була атака на залежність, яка використовувала те, як менеджер пакунків розв’язує імена»
• «Коренева причина — це зіткнення простору імен між нашим внутрішнім ім’ям пакунка і публічно зареєстрованим ім’ям»
• «Ми повинні виправити порядок рішень, а не просто опублікувати пакунок виправлень, або це залишиться експлуатабельним»
• «В дальшому, всі внутрішні пакунки потребують назви пакунка з обсягом в нашому резервованому просторі імен»
• «Це ризик ланцюга постачання, а не проблема якості коду, і виправлення повинно відбутися на рівні інструментів і процесів, а не тільки в коді програми»

Приклади речення

Пояснення механізму атаки для колеги, який не займається безпекою: “Подумайте про це так: наш внутрішній пакунок мав назву auth-utils, і нічого не відрізняло його від публічного пакунка з такою ж назвою. Злочинець зареєстрував шкідливий auth-utils в публічному реєстрі, і через те, як наша збірка була налаштована, вона витягнула їхню замість нашої.”

Прояснення справжньої причини смерті після смерті:

• “Щоб бути точним щодо кореневої причини: це не була помилка в нашому коді. Це був конфлікт простору імен у поєднанні з пріоритетом розв’язання, який за замовчуванням був відкритий для публічного реєстру, коли ім’я існувало в обох місцях.”*

Опис фактичного виправлення, а не лише негайної латки: *“Негайним виправленням було вилучення шкідливого пакунка і зміна будь-яких реєстраційних даних, до яких він міг отримати доступ. Справжнє усунення полягає в обмеженні кожної внутрішньої назви пакунка і блокуванні першості розв’язування, щоб цей клас атаки не був можливим знову, а не тільки цей конкретний випадок.” *

Професійні поради

• Поясніть плутанину залежностей, контрастуючи її явно з порушеними даними або вразливістю коду — це розрізнення допомагає інженерам, які не займаються безпекою, зрозуміти, чому лаття одного пакунка не повністю вирішує ризик.
• Визначте ** зіткнення простору імен ** як справжню причину у будь- якій записці, а не просто « було опубліковано зловмисний пакунок » — зіткнення є тим, що зробило атаку можливою, і саме це потрібно виправити.
• Визначте порядок слідування розв’ язання, коли пояснюєте виправлення — це конкретна механічна деталь, яка визначає, чи може повторитися така ж атака з іншою назвою пакунка.
• Рекомендуємо назва пакунка з обсягом як постійне зменшення, а не одноразове очищення — кожен майбутній внутрішній пакунок повинен слідувати тій же конвенції, або той же клас вразливості буде знову відкрито з наступним новим пакунком.
• Формувати інцидент явно як ризик ланцюга постачання в будь-якому спілкуванні з зацікавленими сторонами - це формування правильно сигналізує, що виправлення належить до рівня інструментів і налаштування реєстру, а не як одноразовий перегляд коду.

Практичні вправи

1. Поясніть простими словами, як атака з заплутаними залежностями відрізняється від вкрадених даних.
2. Описати, що таке зіткнення просторів назв і чому це уможливлює таку атаку.
3. Напишіть речення, у якому поясните, чому виправлення порядку розв’ язання має більше значення, ніж вилучення одного шкідливого пакунка.

Назва походить від слова «навигація» — мова цієї мови

Будьмо відвертими: атаки на залежність можуть звучати неймовірно технічно і, чесно кажучи, тривожно. Але ефективне спілкування - ключ до відновлення. Спосіб, в який ви формулюєте проблему, і, що важливіше, як ви виражаєте себе, безпосередньо впливає на розуміння вашої команди, їх готовність співпрацювати з виправленнями і, в кінцевому рахунку, на успіх запобігання майбутнім вразливостям. Це не просто заява про те, що «виник атака з плутанини залежностей»; це про передачу серйозності, детальний вплив і пропозиція конкретних кроків.

Розгляньте сценарій під час зустрічі після інциденту. Замість того, щоб говорити щось нечітке, наприклад: «У нас була проблема з нашими залежностями», ви можете почати з чіткого вираження ланцюга подій. Фрази на кшталт «зловмисний актор зміг вставити компрометовану залежність в наш процес збирання» або «ми випадково ввели вразливий компонент через транзитивну залежність» негайно встановлюють тяжкість і природу атаки. Важливо уникати жаргону, якщо це можливо. Якщо ви повинні використовувати такі терміни, як «ланцюг постачання», поясніть це коротко: «Це означає, що нападник отримав контроль над одним з програмних компонентів, на які ми покладаємося — по суті, ланкою в нашій програмній виробничій лінії»

Крім того, при описі експозиції, точна мова є життєво важливою. Замість того, щоб сказати « ми були вразливі », скажіть « наша програма залежала від версії X компонента Y, у якій містилася критична помилка безпеки, яку використовував злочинець ». Коли це можливо, вкажіть кількісну оцінку впливу — « ця вразливість надала несанкціонований доступ до [особливих даних] » або « пошкоджений компонент міг призвести до відмови у наданні послуг ». Використовуйте активний голос; він яскравіше і пряміше, ніж пасивні конструкції. Нарешті, під час обговорення усунення, уникайте двозначних тверджень на зразок « нам потрібно оновити наші залежності ». Замість цього, пропонуйте конкретні дії: « Ми негайно реалізуємо суворішу стратегію прикріплення залежностей, щоб запобігти майбутнім вразливостям » або « Ми проведемо ретельне сканування всіх транзитивних залежностей на вразливість »

Також важливо визнати * чому * - чому це сталося. Фрази на кшталт «наше поточне збирання процесу не вистачало достатнього контролю над нашим деревом залежностей» або «відсутність автоматизованого сканування безпеки дозволила цю проблему не виявити занадто довго» демонструють відповідальність і підкреслюють області, які потребують поліпшення, оформлюючи її як системну слабкість, а не індивідуальну помилку. Сфокусування на ясній, точній мові протягом усього процесу спілкування буде сприяти довірі, заохочувати співпрацю і забезпечувати, що ваша команда розуміє критичну важливість забезпечення безпеки вашого ланцюжка постачання програмного забезпечення.