Atacurile asupra lantului de aprovizionare software: ce masuri au luat GitHub si PyPI

De multe ori, cand vorbim despre securitate cibernetica in cadrul companiilor, ne oprim la parole puternice, firewall-uri perimetrale sau emailuri de tip phishing. Totusi, vulnerabilitatile ascunse vin adesea de acolo de unde ne asteptam mai putin: din codul scris de altii, pe care aplicatiile noastre il folosesc zi de zi. La clientii nostri din Arad care dezvolta solutii proprii sau folosesc automatizari complexe, vedem cat de usor se poate propaga un incident daca ecosistemul de dezvoltare este compromis. Din fericire, marile platforme de cod incep sa implementeze bariere automate impotriva acestor riscuri invizibile.

#Ce s-a intamplat

Platformele GitHub si PyPI (Python Package Index) au anuntat introducerea unor mecanisme bazate pe timp in instrumentele de gestionare a dependentelor, cum este Dependabot, pentru a limita impactul atacurilor asupra lantului de aprovizionare software (supply-chain attacks). Mai exact, Dependabot include acum o setare implicita de intarziere de 72 de ore pentru actualizari, in timp ce PyPI respinge incarcarea de fisiere noi pe pachete mai vechi de 14 zile.

Aceste masuri vin dupa ce ecosistemele de dezvoltare au fost tinta unor campanii recente de compromitere, in care atacatorii au reusit sa injecteze cod malitios in pachete populare folosite de mii de aplicatii. Desi sistemele de securitate detecteaza adesea pachetele rau intentionate la scurt timp dupa publicare, fereastra de timp in care dezvoltatorii sau aplicatiile descarca automat codul compromis ramane o bresa periculoasa. Prin introducerea unui timp de asteptare de trei zile, GitHub reduce riscul adoptarii automate a pachetelor proaspat lansate. La randul său, PyPI blocheaza posibilitatea ca un atacator care a preluat controlul unui cont sa modifice versiuni anterioare, de incredere, ale unui pachet software.

#Impact pentru firme

Pentru o firma mica sau mijlocie din Romania care foloseste aplicatii personalizate, servicii bazate pe scripturi Python sau platforme digitale externe, aceste riscuri se traduc prin pierderi financiare, timpi morti sau compromiterea datelor clientilor. Un atac de tip supply chain nu necesita spargerea directa a serverului tau; este suficient ca o dependenta software folosita de aplicatia ta sa fie alterata la sursa.

Pentru companiile care nu au o echipa de dezvoltare interna dar utilizeaza solutii informatice complexe, riscul consta in mentenanta deficitara si lipsa auditului de securitate pe codul integrat. Daca o aplicatie critica depinde de pachete actualizate automat fara o verificare prealabila, firma devine vulnerabila in momentul in care ecosistemul tert este compromis. Timpul pierdut cu restaurarea sistemelor si repararea reputatiei depaseste cu mult costul unor servicii de mentenanta si consultanta IT profesioniste.

#Recomandari concrete

Pentru a va proteja aplicatiile si infrastructura de astfel de scenarii, echipa Activ.NET va recomanda cel putin trei masuri clare pe care le puteti implementa alaturi de oamenii vostri tehnici:

1. Folositi fisiere de blocare (lockfiles): Nu setati actualizari automate oarbe pentru dependentele software. Utilizati fisiere de tip package-lock.json sau echivalentele lor pentru a fixa exact versiunile testate si sigure ale pachetelor.
2. Limitati privilegiile token-urilor de acces: Daca aveti oameni care gestioneaza repository-uri de cod, restrictionati domeniul de actiune al token-urilor API si activati autentificarea cu dublu factor (MFA) obligatorie pe toate platformele de dezvoltare.
3. Auditati periodic starea sistemelor: Colaborati cu o echipa specializata pentru a verifica starea echipamentelor si a aplicatiilor folosite in companie, apeland la servicii dedicate de Service IT pentru firme si administrare de servere.

#Concluziile noastre

Securitatea cibernetica nu mai inseamna doar instalarea unui antivirus pe statia de lucru, ci o abordare preventiva pe toate nivelurile infrastructurii digitale. Masurile luate de GitHub si PyPI sunt un pas inainte, dar responsabilitatea finala ramane la nivelul fiecarei organizatii care integreaza cod terto-part in activitatea curenta. La Activ.NET, analizam constant aceste tendinte globale pentru a le traduce in practici sigure pentru partenerii nostri din Arad si din tara.

Inspirat din: BleepingComputer