תגובות לפוסט: מודול מרכזי ב-npm הושחת ומיליוני שרתים ואפליקציות נמצאים בסיכון https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/ רן בר-זיק על פיתוח אינטרנט מתקדם Wed, 28 Nov 2018 13:46:42 +0000 hourly 1 https://wordpress.org/?v=7.0.2 מאת: רן בר-זיק https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2068 Wed, 28 Nov 2018 13:46:42 +0000 https://internet-israel.com/?p=8363#comment-2068 בתגובה על Eldar S.

צודק, הייתי צריך לכתוב שלמדתי על העניין הזה מהפוסט (המצוין) שלו ותיקנתי. בלי שום קשר לכך שהוא משלם לי 5,000 דולר לחודש… (לא באמת) 🙂

]]> מאת: רפאל https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2066 Wed, 28 Nov 2018 12:42:57 +0000 https://internet-israel.com/?p=8363#comment-2066 יוותר פשוט לחפש ככה:
grep -irn event-stream

תודה

]]> מאת: גיבוב ממולח https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2065 Wed, 28 Nov 2018 11:08:45 +0000 https://internet-israel.com/?p=8363#comment-2065 יש מאמר מאוד נחמד מלפני כשנה שדן בסיפור תקיפה דמיוני שמזהיר בדיוק מפני מתקפות כאלה. שווה קריאה:
https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5

לאחר מכן נוסף הכלי npm audit כדי לבדוק מודולים מול מאגר מודולים זדוניים. כמובן שזה לא יעזור אם זה עוד לא התגלה 🙂
https://docs.npmjs.com/cli/audit

]]> מאת: רפאל אקרמן https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2063 Tue, 27 Nov 2018 18:18:01 +0000 https://internet-israel.com/?p=8363#comment-2063 להשלים כמה פרטים שהתבברו מאז:
החבילה הייתה מתוכננת לפגוע באופן ספציפי בשרתים של Copay, ולגנוב קריפטו-ארנקים.
ההשלכות המיידיות לציבור הרחב, כנראה, מצומצמות. ההשלכות לטווח הארוך (הערכה מחדש של שרשרת התלויות, ומודל העברת האמון) רלוונטיות מתמיד.
כתבה קצת עילגת אבל מפורטת https://arstechnica.com/information-technology/2018/11/hacker-backdoors-widely-used-open-source-software-to-steal-bitcoin/

למי שרוצה לעזור לNode.js לתת תמיכה לחבילות ולמנהלי חבילות, מוזמנים להצטרף לhttps://github.com/nodejs/package-maintenance

]]> מאת: Eldar S https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2062 Tue, 27 Nov 2018 17:25:54 +0000 https://internet-israel.com/?p=8363#comment-2062 "מי שדיווח על העניין הזה הוא דני גרדנר מ-snyk והדיווח שלו באנגלית זמין כאן."
ממש לא נכון, מי שדיווח היה משתמש בגיטהאב שנתקל בזה בעקבות הודעת deprecation שקפצה עקב השימוש ב createDecipher בנוד 10, שם הפונקציה דפריקייטד.

זה קרדיט לא נכון, ספק פרסומת סמויה (כפי שניתן לראות גם בסוף הפוסט) ספק טעות בתום לב 😉

]]> מאת: גיבוב ממולח https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2061 Tue, 27 Nov 2018 14:31:53 +0000 https://internet-israel.com/?p=8363#comment-2061 היה מאמר מאוד נחמד לפני כשנה, שתיאר סיפור "דמיוני" זהה בתור הזהרה מתרחישים כאלה.
https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5

אז הוסיפו פקודה npm audit כדי לבדוק מודולים מול מאגר פרצות ידועות.

]]> מאת: אורי הוך https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2060 Tue, 27 Nov 2018 11:16:03 +0000 https://internet-israel.com/?p=8363#comment-2060 2 נקודות מעניינות נוספות –

1. ה"האקר" לא רק פירסם את החבילה ושידרג גירסה (למרות שזה היה מספיק) – הוא גם שתל את הקוד רק בקובץ ה-minified שפורסם בשביל להקשות על הזיהוי.

2. סביר להניח שינסו לשחזר את המתודה הזאת כי היא כל כך קלה לביצוע – צריך רק לחפש חבילה פופולרית של npm שלא מתוחזקת ולבקש לעזור, נוהג סטנדרטי בקוד פתוח.

מסקנות ולקחים שצריך להטמיע –

לצמצם למינימום את הdependencies, אין שום צורך להתקין חבילה רק בשביל כמה שורות קוד.

כשמתקינים חבילה, לבדוק כמה ואיזה dependencies יש לה, כולל dependencies של dependencies של dependencies..

אם יש לכם פרוייקט קוד פתוח – לא לתת שליטה למישהו שאתם לא מכירים. אם החבילה לא מתוחזקת, לעשות לה archive בgithub ול��מן אותה deprecated בnpm.

אין צורך לתת שליטה למישהו אחר (שאתם לא מכירים), שיעשה fork ויעבוד על גירסה חדשה

]]> מאת: רן בר-זיק https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2059 Tue, 27 Nov 2018 10:39:38 +0000 https://internet-israel.com/?p=8363#comment-2059 בתגובה על @eidellev.

שגיאת הקלדה – היה צריך להיות package-lock.json. אבל טעיתי.
בכל מקרה התוספת של ה-yarn חשובה. תודה שהוספת!

]]> מאת: @eidellev https://internet-israel.com/%d7%97%d7%93%d7%a9%d7%95%d7%aa-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%9e%d7%95%d7%93%d7%95%d7%9c-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%91-npm-%d7%94%d7%95%d7%a9%d7%97%d7%aa-%d7%95%d7%9e%d7%99%d7%9c%d7%99%d7%95%d7%a0%d7%99-%d7%a9%d7%a8%d7%aa%d7%99%d7%9d-%d7%95%d7%90/comment-page-1/#comment-2058 Tue, 27 Nov 2018 09:23:45 +0000 https://internet-israel.com/?p=8363#comment-2058 תודה, מאוד חשוב.
חשוב להוסיף גם שלא מספיק לבדוק רק ב-package.json כי יכול להיות שאחת הספריות המותקנות משתמשת ב-event-stream.
עבור מי שמשתמש ב-yarn אפשר לבדוק את זה בעזרת:
yarn why event-stream

]]>