GitHub выставил на обсуждение предложение по внедрению сервиса Sigstore для верификации пакетов по цифровым подписям и ведения публичного лога для подтверждения подлинности при распространении релизов. Применение  Sigstore позволит  реализовать дополнительный уровень защиты от атак, нацеленных на подмену программных компонентов и зависимостей (supply chain). Например, внедряемое изменение защитит исходные тексты проектов в случае компрометации учётной записи разработчика одной из зависимостей в NPM и формирования злоумышленником обновления пакета с вредоносным кодом...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57614

• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 15:50 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:10 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 15:46 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,pashev.ru, 15:52 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 16:15 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 05:58 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 12:40 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 23:44 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:04 , 11-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 18:41 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:39 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:55 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:02 , 11-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:18 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:46 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,аноним228, 21:18 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним774, 07:42 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 12:39 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:41 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,истина в последней инстанции, 15:23 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,истина в последней инстанции, 15:24 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:16 , 09-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 21:26 , 09-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 22:22 , 09-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 00:52 , 10-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 04:05 , 10-Авг-22
          • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 11:18 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,YetAnotherOnanym, 01:58 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 04:03 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:41 , 10-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,YetAnotherOnanym, 09:51 , 11-Авг-22
          • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 14:29 , 11-Авг-22
            • В NPM планируют использовать Sigstore для подтверждения подл...,YetAnotherOnanym, 18:54 , 11-Авг-22
            • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:04 , 11-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,darkshvein, 14:26 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:47 , 10-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,darkshvein, 23:46 , 10-Авг-22
          • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:05 , 11-Авг-22
            • В NPM планируют использовать Sigstore для подтверждения подл...,darkshvein, 21:23 , 11-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 23:40 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 14:53 , 13-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:32 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 06:42 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,вебмакак, 11:39 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:35 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 04:41 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 06:45 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 07:31 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 10:23 , 10-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:03 , 11-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,вебмакак, 11:41 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 20:54 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:04 , 11-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:08 , 11-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 05:36 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 05:40 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,yet another anonymous, 08:09 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 09:51 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 10:21 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 12:05 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:09 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 14:29 , 10-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,none7, 17:04 , 10-Авг-22
          • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 14:50 , 11-Авг-22
            • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 15:10 , 11-Авг-22
              • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 15:17 , 11-Авг-22
                • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:11 , 11-Авг-22
                  • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 00:05 , 12-Авг-22
        • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 17:35 , 10-Авг-22
          • В NPM планируют использовать Sigstore для подтверждения подл...,Ляля, 14:58 , 11-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 17:32 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:43 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 17:30 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 23:28 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 00:00 , 11-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 01:06 , 11-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 09:54 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 11:17 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 14:32 , 10-Авг-22
    • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:45 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 14:33 , 10-Авг-22
      • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 23:35 , 10-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,darkshvein, 13:54 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 15:04 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 19:42 , 10-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,A, 10:19 , 15-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 08:46 , 12-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,BorichL, 14:58 , 12-Авг-22
• В NPM планируют использовать Sigstore для подтверждения подл...,Аноним, 13:53 , 15-Авг-22
  • В NPM планируют использовать Sigstore для подтверждения подл...,Ааантоним, 18:25 , 15-Авг-22

Как, друзья, вы не садитесь, ... (И.А. Крылов)

Не на пики приземлитесь

Правильный путь подписи OpenPGP, лучше с аппаратной защитой секретного ключа:

https://www.nitrokey.com/news/2018/nitrokey-partners-linux-f...

https://www.nitrokey.com/news/2019/nitrokey-partners-gentoo-...

https://www.nitrokey.com/news/2021/nitrokey-equips-arch-linu...

Npm не спасти.

Зато можно добавить ещё одну подпорочку.  

Что сделано лучше чем npm и почему?

Хотелось бы от вас получить технический анализ как от эксперта.

apt

Уважаемый анонимный эксперт, вы забыли добавить технический анализ почему apt лучше

Раньше CDN был популярен. Там нельзя как в NPM выполнить любой скрипт при установке пакета (а без этого про безопасность вообще бессмысленно говорить - пакет может быть супер, а всё вредоносное можно добавить тихо при установке).

Хорошее предложение, было бы интересно посмотреть на реализацию, особенно если она позволит пользоваться любой DVCS-платформой, а не только гитхабом. Атаки на supply chain актуальная угроза.

>DVCS-платформой, а не только гитхабом

Я всегда думал, что distributed - это где угодно, а не на гитпуке.

Значит ты всегда думал неправильно. Передумывай заново всё.

Let's encrypt так то тоже ни разу не децентрализованый. Как может быть распределенным его аналог?

Скоро все разработчики убегут куда-нибудь (на ржавчину)

На карбонщину.

Не все захотят убегать в эту эзотерику.

На кристальщину
https://opennet.ru/57549/
там одной командой можно сервер поднять

А уронить?

На лиспе этой одной командой можно его не то, что поднять, но и залезть ему в кишки и так далее. И эту одну команду с собой на флешке таскать.

Прикинь, на шеле тоже

Более того. И на C можно и на C++ можно. Одной командой.

> в случае компрометации учётной записи разработчика одной из зависимостей в NPM и формирования злоумышленником обновления пакета с вредоносным кодом

А в случае, если не злоумышленник, а автор решит добавить вредонос в новую версию?
От этого есть защита?

Конечно. Персональная репутация. Кроме того, в случае реального урона, на такого разработчика можно подать в суд. Вполне возможно, что иск будет коллективный, а это неиллюзорная возможность сесть лет на десять.

какая репутация, какой суд? там при установке чего угодно через npm обычно 100500 пакетов тянется в зависимостях и зависимостях зависимостей. бОльшая часть их авторов неизвестны никому, просто анонимы на гитхаб. вы даже никогда не выясните, кто это в реале.

> бОльшая часть их авторов неизвестны никому, просто анонимы на гитхаб. вы даже никогда не выясните, кто это в реале.

Я сплю и вижу, как анонимные кодеры на js пушат на гитхаб свои нетленки через тор. Это именно тот опенсорс, о котором я так мечтал. Но в реальности большая часть авторов подписывается своим именем и делает это с домашнего компьютера, регистрируя гитхаб на свой ящик на gmail, который, в свою очередь, привязан к телефонному номеру. Ну и на всякий случай авторам популярных пакетов пришлют хардварный токен на домашний адрес.

Всё верно. Только с точки зрения ответственности, разницы никакой нет.

Максимум авторам аккаунт заблокируют.

Максимум найдут и на швабру насадят.  

Репутация? Вот, например, лично ты что знаешь о тех людях, чьи исходники используешь? А в суде, даже если ты сможешь его туда притащить, он ткнёт тебя носом в лицензию, где прописан отказ от ответственности.

Тоже самое сделает и Microsoft. А, нет, ещё 5$ ущерба заплатит.

Пиши этот код сам, кто мешает? Или заказывай разработку.

Напомню вопрос, на который я отвечал, раз уж чукча не читатель:

> А в случае, если не злоумышленник, а автор решит добавить вредонос в новую версию?

Ключевые слова: автор, решит, вредонос. Это намеренное (слово «решит» нам недвусмысленно говорит об этом) вредительство. Практически в любой стране мира, где есть IT, есть законы, явно запрещающие подобное поведение. Никакая лицензия не поможет, это преднамеренный взлом и за это сажают в тюрьму. В случае большого урона, даже необязательно тащиться к чёрту на рога, можно подать в суд в своей стране и затребовать экстрадицию. Или, как штаты, взять под белы рученьки в любой стране через которую автор будет проезжать транзитом.

Ну так тем более не будет дорожить своей репутацией тот, кто делает что-то, за что можно сесть.
Кроме того, никто не застрахован от булочки с крысиным ядом, если какой-нибудь Аксель Джордах решит сделать прощальный сюрприз.

Вы точно уверены, что сможете установить личность любого из авторов 100500 пакетов npm (бОльшая часть из которых - анонимы на github)?

Кстати, да, очень хорошее наблюдение. Что там насчёт репутации этих авторов, бОльшпая часть из которых анонимы? У всех проверили? Удостоверились, что они ею дорожат?

> анонимы на github

Оксюморон.

>Кроме того, в случае реального урона, на такого разработчика можно подать в суд.

есть прецеденты?

даже ослу же ясно, что npm создан для того, чтобы приманивать лохов, которые не осилят написать даже убогий скрипт для сайта.

> есть прецеденты?

Есть. И как арестовывают в транзитных аэропортах тоже есть. Почитай хоть у того же Кребса на сайте.

> даже ослу же ясно, что npm создан для того, чтобы приманивать лохов, которые не осилят написать даже убогий скрипт для сайта.

Ослу может и понятно, но я не осёл. Можешь объяснить, раз уж ты такой специалист по ослиному мышлению, как же так вышло, что практически весь веб так или иначе оказался завязан на npm, включая огромные корпорации, которые уж точно могут себе позволить нанять хотя бы средненьких девелоперов?

>практически весь веб так или иначе оказался завязан на npm

это называется экономика

А какое отношение экономика имеет к ослиному мышлению?

> А какое отношение экономика имеет к ослиному мышлению?

киса, ты обиделсо?
тебе пояснить, что проще и главное  дешевле тебя по статье натянуть, нежели доплачивать тебе за написание кода, который ты толком и не умеешь писать?
что ты потом блеять будет про какие то модули от врагов россии уже заказчика и суд волновать будет мало, ибо ответственным зицпредседателем будешь ты.

Разверните подробнее вашу мысль, на каком основании вы считаете что npm для тех кто не осилит написать скрипт на сайт

К сожалению, "персональная репутация" становится пустым звуком во время войны, поскольку любой из цепочки доверия может оказаться отмороженным русофобом, мечтающим нагадить русским любой ценой, и в честь этого помещающим "приветик" в свой же собственный код. А самое печальное, что стоит ему слегка не рассчитать, и этот "приветик" пойдет вместо русских, всем подряд без особых различий в нации, расе или гражданстве. Классика терроризма, епта.

Кстати, если кому-то важно, то можете, в честь толерантности, заменить "русофоба" на "исламского террориста" или типа того... вот только что это меняет? Все фанатики, по определению, слегка неадекватны (некоторые даже и не слегка!), а спусковым крючком для такого урода может стать любая мелочь... не говоря уж о серьезных поворотных событиях.

Лично я думаю, что скоро появятся этакие гейты безопасности, которые будут анализировать исходный код и предоставлять его конечному потребителю только если он пройдет все проверки. Собственно у банков и крупных компаний давным-давно подобный механизм имеется. Ну, а для персональных потребителей появятся коммерческие аналоги, которые за платную подписку будут делать тоже самое. Печально звучит конечно же... ну, а что поделаешь? Такова реальность, - шкатулка Пандоры открыта.

Конечно есть. Отслюнявливаешь баксы юридическому лицу, с регистрацией, адресом, фамилиями, ответственностью.

Подписываешь контракт на разработку с гарантиями и ответственностью. Наслаждаешься результатом.

Никакой защиты нет.
Теоретически можно было бы защититься если устанавливать только пакеты программы, от Фейсбук, Гугл, мс, ещё babel и core-js.
А практически react-script от лицо книги это несколько тысяч пакетов. Storybook ещё столько же. В webpack добавить несколько плагинов, ещё тысяча однострочников вида isArray

> core-js

это тот неадекват, что рекламу пихает на компьютеры без разрешения? что ему помешает в целях рекламной акции зловред запихать?

Рекламу чего?

> разработчики смогут привязать сформированный пакет к
> использованному исходному коду и сборочному окружению,

Круто, они придумали прибить сборочную конфигурацию на гвозди. И удачи пересобрать как-то иначе, да... они там еще не забыли что это как минимум формально опенсорс? Зачем он ТАКОЙ нужен? :)

Опеннет экспертам незачем.

Так я сабжем и не пользуюсь, к счастью, так что вон то будет не моими проблемами.

Нода она до всех доберется.

Я не все, это их проблемы.

Github CI должен себя окупать.. естественно, ради безопасности

> они придумали прибить сборочную конфигурацию на гвозди

Ну ты попробуй пописать что-то сложнее hello world и накопленных скриптов, поймёшь зачем это и почему так делают дольше, чем ты на свете живёшь

Я уже попробовал, но такая фееричная вебмакакятина мне к счастью не требовалась. Более того при разработке хорошая практика это девелопать под самые новые версии компонентов, чтобы быть готовым к будущему сразу а не когда уже поздняк метаться.

> Я уже попробовал, но такая фееричная вебмакакятина мне к счастью не требовалась.

Если только во сне.

> Более того при разработке хорошая практика это девелопать под самые новые версии компонентов, чтобы быть готовым к будущему сразу а не когда уже поздняк метаться.

Это ужасная практика, которая приводит к несуразным тратам времени на ремонт того, что не сломано. Погоня за циферками — удел админов локалхостов.

А просто запретить выполнять произвольный скрипт при установке пакета до сих пор не могут.

Большинство NPM пакетов не лезут на левые сайты (ajax всякий). Если ввести просто правило: всё новое не должно лезть или проходить отдельную верификацию (аккаунты фирм или ещё как - свод правил)? Это же на порядок быстрее и сильнее поднимет безопасность пакетов.

> Большинство NPM пакетов не лезут на левые сайты

Да ладно! Или вы имели ввиду, что они таки лезут, но на "совершенно не левые"?

Есть простое правило: посылать нах все платформы и языки, которым из коробки нужно чего-то откуда-то грузить, и требуются особые усилия заставить это работать строго оффлайн.

Ты только что изобрел С стандарта С99. А примеры кода вообще надо брать  из книжек и лучше из умных.

Чтобы чего-то откуда-то не грузить, оно уже должно быть на компукторе, что порождает следующий вопрос: как помещать это чего-то на компуктор?

Ты только что открыл дистрибутив линукс с пакетным менеджером.

Это же буквально то же самое: чего-то откуда-то грузить. Чем репозитории дистрибутива в этом смысле принципиально отличаются от NPM? Ничем, особенно если это AUR или «добавьте наш ppa».

Степенью проверенности ментейнеров пакетов. Содержимое, а тем более обновления этого содержимого в NPN НИКТО не проверяет. Это помойка. Вы если виндой пользуетесь и хотите чего либо, то просто гуглите и запускаете первый попавшийся бинарник с варезника? А вот пользователи ПО из NPM так делают.
PPA это конечно зло и их можно ставить только на свой страх и риск, думая насколько автору PPA можно доверять. По хорошему их стоит ставить только в песочницу.

То есть принципиально ничем, только в деталях: репозиторий дистра наполняют более симпатичные люди, и попадает в туда не всё, а что эти люди посчитали нужным добавить.

С репой дистра мы полагаемся на неких абстрактных ментейнеров, изначально и безусловно доверяя им, хотя причин для этого просто нет. «У них подписанные ключи» и «они знают друг друга» это причина для доверия между ментейнерами, но не для юзера, юзеру остаётся только верить, что репа беды не принесёт, верить, что ментейнеры хорошие парни.

Если не хочешь весь необходимый софт писать с нуля включая компиляторы, то необходимо кому-то доверять. И так уж сложилось, что бомж Вася, который свой аккаунт сольёт за бутылку водки любому прохожему, заслуживает меньшего доверия чем Линус Торвальдс.
Если доверять всем, то можете с тем же успехом оставить свой бумажник с кредитными картами в кафе, все же честные люди. А если не доверять не никому, то нужно собственный процессор печатать на собственном станке.

Спасибо, я об этом как раз и говорю! Репа дистра не безопаснее NPM, но доверять ей проще.

> доверять ей проще

А можешь тезисно пояснить как ты пришёл к такому выводу? Какие-то объективные критерии привести, определение простоты дать, разъяснить в общем для менее осведомленной публики.

Иди в другом месте поиграй, сорванец.

Тем, что репозитории дистров ОС поддерживаются слаженной командой дистростроителей. Они знают друг друга. Есть взаимное доверие, есть моральная ответственность.

>Они знают друг друга.

А я их не знаю, для меня они какие-то люди в интернете. Как их знакомство друг с другом делает пакет безопаснее для меня?

>есть моральная ответственность

Тоже наверно перед друг другом, не передо мной же или другим админом.

Если ничего умного не приходит, можно вспомнить про дискетки.

Собственно, почему всякие удобные язычки с удобненькими пакетными менеджерами не нужны. Нужен только один пакетный менеджер - это apt. Или что у вас там.

portage

Так называемые "Фронтэнд разработчики" не могут в apt.
Все что они могут это прозонтированный трехфакторной авторизацией каталог вредоносных пакетов npm

Это тупые обезьянки дистростроители не могут в npmи не научились собирать пакеты. Какая попоболь.

Ведь макакам не объяснили разницу между кодом, для чего используется npm, и готовым продуктом.

Который должны собирать apt макаки. Но они не осилили. Печаль.

> Так называемые "Фронтэнд разработчики" не могут в apt.

Так это не баг а фича: сразу видно кто в вольере гадит.

В песочницу их, с запросом на доступ на каждый чих!

Ты все пропустил это называется докер и его все используют.

Либо ты используешь докер или он начнет использовать тебя!

Но докер - это не про песочницу. Докер - это про "я забыл ключи от apt-get".

В интерактивном режиме команды набирай и будет тебе apt-get. А если ты еще пользователя с рутового переключишь, то вообще будешь в полной безопасности.

Вы имеете в виду что современные разработчики не могут понять apt и поэтому изобрели докер?
Но ведь докер гораздо сложнее apt

а поясните за npm.
почему нельзя ставить те же rpm, deb? на худой конец src
почему надо пихать в npm? как результат - почему надо тащить и ставить всё из npm?
разработчики nodejs знают толк в извращениях?

NPN это сплошной facepalm: можно исполнить любой скрипт на стороне разработчика (то есть - без разницы что там сам js норм, можно встретится в систему сборки), политика разбиения на микропакеты (и использования этих васяновских микропакетов в продакшнне уровня react/angular), отсутствие нормальных правил публикации, ползновения многофакторной авторизации...

Поставь react из Deb.
А потом из rpm

> почему надо пихать в npm? как результат - почему надо тащить и ставить всё из npm?

Потому, что можно без знаний и без душнилова писать от души слабо продуманный код как стихи. Хорошие стихи написать трудно. Ну и хороший код - тоже.

А упаковать в Deb и пройти проверки на косолапость в Дебиан - трудно, нужно много выучить.

Короче - так было проще сделать обыкновенный тяп ляп.

эхъ, а когда-то kde собирали в freebsd из сорцов, а чтоб все собиралось и работало комментили непонятные куски кода (! безопасность еще тогда).

Дык до сих пор так делают, ну может в код особо не лезут, но желающие - могут   :-)

Проблема мусорного бака в том что его нужно периодически вывозить.
Что npm, что pypi, что crates как раз такие бездонные баки, содержимое которых нужно в вулканической лаве растворять.
Причем "неймсквоттинг" там во все поля: условный белый джентльмен создаёт тысячу модулей на популярные названия и везде лепит одну и ту же фразу: "я создал этот проект чтобы не хорошие люди не могли напакостить, напишите мне туда-то если вы заинтересованы в проекте".

🤡

И при этом когда из содержимого бака что-либо обязательно неотъемлемая часть обеда у джентельмена.

Примечательно, для Питона есть Conda репозиторий. Была догадка - там отфильтрованы более менее нетухлые кусочки из бака. Не проверял.