15 دی 1403

پکیج‌های مخرب npm، کلیدهای خصوصی توسعه دهندگان اتریوم را می‌ربایند#Blockchain #Cyber_security #Ethereum #اتریوم https://vulnerbyte.com/malicious-npm-packages-target-ethereum-developers-private-keys/

vulnerbyte.com

پکیج‌های مخرب npm، کلیدهای خصوصی توسعه دهندگان اتریوم را می‌ربایند

پکیج‌های مخرب npm، توسعه‌دهندگان اتریوم (Ethereum) را به منظور سرقت کلیدهای خصوصی آنها و سایر اطلاعات حساس هدف قرار می‌دهند.

1

1

0

153

1

مهندس معمولی

@mohandes_maemoli10 فروردین 1404

Replying to @Vulnerbyte

همیشه سیستم‌های حساس باید چند امضایی و توزیع شده باشن.یه گروه از npm استفاده کنن، یه گروه از pip یه گروه ازGnosis تا اگه یه گروه آسیب‌پذیری داشتن، کل سیستم به خطر نیافته.

1

1

0

129

1

والنربایت

@Vulnerbyte10 فروردین 1404

Replying to @mohandes_maemoli

ممنون از نظرتون،ایده توزیع ابزارها می‌تواند ریسک را کاهش دهد، اما به‌تنهایی کافی نیست. حتی اگر از چندین منبع استفاده کنیم، اگر یک زنجیره تأمین آلوده بشه، باز ممکنه کل سیستم آسیب ببینه. راهکارهای مکمل مثل امضای دیجیتال یا چند امضا که گفتید،Dependency Auditing و Least Privilege Access هم ضروری هستند.

1

1

0

149

1

مهندس معمولی

@mohandes_maemoli10 فروردین 1404

Replying to @Vulnerbyte

زنده باشیدهمینطوره، ما امنیت ۱۰۰٪ نداریم به همین خاطر راهکار‌های ایمنی چندلایه‌ای هستن.به نظرم Dependency Auditing نکته خیلی ضروری‌ای هست که می‌شه در CICD Pipeline اون رو جاسازی کرد.اما شما چه رویکردی عملی برای Dependency Auditing پیشنهاد می‌کنید؟

1

1

0

142

1

والنربایت

@Vulnerbyte16 فروردین 1404

Replying to @mohandes_maemoli

مراحل از دیدگاه اجرایی برای هر شرکت ممکنه متفاوت باشه اما به صورت سرفصل وار مطالب زیر باید در نظر بگیریم:1- شناسایی وابستگی ها:استخراج تمام پکیج‌ها و کتابخانه‌های مورد استفاده با نسخه دقیق- مثلا استفاده از ابزارهای npm ls --json در Node.js، pip freeze در Python یا mvn dependency:tree در Java

1

1

0

279

1