forum.opennet.ru - "Применение тайпсквоттинга для распространения вредоносных мо..." (61)

форумы

помощь

поиск

регистрация

вход/выход

слежка

"Применение тайпсквоттинга для распространения вредоносных мо..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
Сообщение от opennews on 09-Июн-16, 21:46
Опубликованы (http://incolumitas.com/2016/06/08/typosquatting-package-mana.../) результаты эксперимента по использованию методов тайпсквоттинга (https://ru.wikipedia.org/wiki/%D0%A2%D0%...) для распространения вредоносного ПО в репозиториях модулей для языков программирования Python, Node.JS и Ruby. Метод основан на том, что популярные репозитории модулей для разработчиков позволяют любому желающему разместить свою библиотеку, не проверяя при этом её содержимое и допуская выполнение произвольного кода в момент установки. В том числе репозитории допускают загрузку библиотек, имена которых почти полностью совпадает с названием других популярных библиотек. Расчёт делается на то, что пользователь допустит опечатку при наборе имени или не заметит различий выбирая модуль из списка. Для оценки эффективности метода в репозиториях PyPi (Python), Npmjs.com (Node.js) и rubygems.org (Ruby) было размещено 214 подставных пакетов, имена для которых были выбраны в соответствии с тремя основными критериями: опечатки в названии (например, coffee-script вместо coffe-script), незарегистрированные варианты имён из стандартной библиотеки (например, urllib2) и имена, вычисленные алгоритмами оценки схожести имён (например, req7est вместо request). В качестве полезной нагрузки в фиктивные модули был добавлен код, отправляющий запрос на сервер сбора статистики. Модули добавлялись в репозитории постепенно в течение нескольких месяцев, чтобы не вызвать подозрений со стороны администраторов. Результат превзошёл все ожидания - на сервере было зафиксировано 45334 запросов от 17289 уникальных хостов. Т.е. если бы метод был применён для организации атаки, то удалось бы захватить управление над более чем 17 тысячами компьютеров, чего более чем достаточно для развёртывания ботнета. Более того, в 43.6% случаев (на 8552 хостах) код был выполнен с правами администратора ( ! ), позволяющими полностью контролировать операционную систему. 15221 хоста были поражены через пакеты PyPi, 1631 через rubygems и 525 через NPM. 8614 захваченных хостов работают под управлением Linux, 6174 - Windows и 4758 - OS X. Наиболее популярным фиктивным пакетом стал urllib2, который за две недели оказался установленным на 3929 системах. В качестве мер по противостоянию подобным атакам предлагается: - Запретить в пакетных менеджерах выполнение встроенных в пакет обработчиков различных стадий установки, которые позволяют запустить произвольный код на системе пользователя, установившего модуль. - Подготовить список типовых опечаток и проверять схожесть названий с использованием метода Дамерау — Левенштейна (https://ru.wikipedia.org/wiki/%D0%A0%D0%...) для наиболее популярных пакетов; - Анализировать логи на наличие 404-ошибки (файл не найден) и блокировать фигурирующие в них неверные названия пакетов. URL: http://incolumitas.com/2016/06/08/typosquatting-package-mana.../ Новость: http://www.opennet.dev/opennews/art.shtml?num=44576
Ответить \| Правка \| Cообщить модератору

Оглавление

Применение тайпсквоттинга для распространения вредоносных мо..., rob pike, 21:46 , 09-Июн-16, (1) +6

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 22:45 , 09-Июн-16, (6) +2

Применение тайпсквоттинга для распространения вредоносных мо..., rob pike, 23:15 , 09-Июн-16, (8)

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 01:37 , 10-Июн-16, (15) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Нанобот, 09:26 , 10-Июн-16, (26) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 10:06 , 10-Июн-16, (34) –3

Применение тайпсквоттинга для распространения вредоносных мо..., омномномнимус, 09:55 , 10-Июн-16, (32) +3

Применение тайпсквоттинга для распространения вредоносных мо..., rob pike, 11:03 , 10-Июн-16, (39)

Применение тайпсквоттинга для распространения вредоносных мо..., омномномнимус, 11:42 , 10-Июн-16, (42) +2

Применение тайпсквоттинга для распространения вредоносных мо..., rob pike, 17:57 , 10-Июн-16, (59)

Применение тайпсквоттинга для распространения вредоносных мо..., Michael Shigorin, 18:38 , 10-Июн-16, (61) +1
Применение тайпсквоттинга для распространения вредоносных мо..., омномномнимус, 20:13 , 10-Июн-16, (62)

Применение тайпсквоттинга для распространения вредоносных мо..., Sabakwaka, 22:24 , 09-Июн-16, (2) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 22:52 , 09-Июн-16, (7)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 10:36 , 10-Июн-16, (38)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 11:19 , 10-Июн-16, (40)

Применение тайпсквоттинга для распространения вредоносных мо..., synweap, 12:48 , 10-Июн-16, (47) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 16:15 , 10-Июн-16, (53)

Применение тайпсквоттинга для распространения вредоносных мо..., synweap, 17:34 , 10-Июн-16, (56)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 17:50 , 10-Июн-16, (58)

Применение тайпсквоттинга для распространения вредоносных мо..., synweap, 18:27 , 10-Июн-16, (60)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 16:59 , 11-Июн-16, (68)

Применение тайпсквоттинга для распространения вредоносных мо..., Нанобот, 09:28 , 10-Июн-16, (27) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 22:36 , 09-Июн-16, (3) +8

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 00:43 , 10-Июн-16, (13) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 09:59 , 10-Июн-16, (33)

Применение тайпсквоттинга для распространения вредоносных мо..., Нанобот, 09:01 , 10-Июн-16, (24)

Применение тайпсквоттинга для распространения вредоносных мо..., Andrey Mitrofanov, 09:32 , 10-Июн-16, (29) +2

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 22:36 , 09-Июн-16, (4)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 06:29 , 10-Июн-16, (21)

Применение тайпсквоттинга для распространения вредоносных мо..., Moomintroll, 09:38 , 10-Июн-16, (30)

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 10:20 , 10-Июн-16, (37)

Применение тайпсквоттинга для распространения вредоносных мо..., AS, 22:40 , 09-Июн-16, (5)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 00:03 , 10-Июн-16, (10) +4

Применение тайпсквоттинга для распространения вредоносных мо..., IZh., 23:45 , 09-Июн-16, (9) +5

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 00:43 , 10-Июн-16, (14)

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 01:41 , 10-Июн-16, (17)

Применение тайпсквоттинга для распространения вредоносных мо..., rob pike, 04:50 , 10-Июн-16, (20) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Crazy Alex, 10:13 , 10-Июн-16, (36)

Применение тайпсквоттинга для распространения вредоносных мо..., ., 01:42 , 10-Июн-16, (18) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Michael Shigorin, 07:16 , 10-Июн-16, (22)
Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 09:30 , 10-Июн-16, (28)

Применение тайпсквоттинга для распространения вредоносных мо..., hatersgonnahate, 15:56 , 10-Июн-16, (51) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Онаним, 04:49 , 10-Июн-16, (19)
Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 08:52 , 10-Июн-16, (23) +2
Применение тайпсквоттинга для распространения вредоносных мо..., Нанобот, 09:23 , 10-Июн-16, (25)
Применение тайпсквоттинга для распространения вредоносных мо..., пучапучс, 09:53 , 10-Июн-16, (31) +1
Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 10:13 , 10-Июн-16, (35) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 11:22 , 10-Июн-16, (41)

Применение тайпсквоттинга для распространения вредоносных мо..., Шапкоед, 12:57 , 10-Июн-16, (48)
Применение тайпсквоттинга для распространения вредоносных мо..., анином, 17:38 , 10-Июн-16, (57)

Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 00:21 , 11-Июн-16, (66) +2

Применение тайпсквоттинга для распространения вредоносных мо..., анон, 11:46 , 10-Июн-16, (43) –1
Применение тайпсквоттинга для распространения вредоносных мо..., Аноним, 11:48 , 10-Июн-16, (44) +1

Применение тайпсквоттинга для распространения вредоносных мо..., Andrey Mitrofanov, 13:12 , 10-Июн-16, (49)

Применение тайпсквоттинга для распространения..., arisu, 14:52 , 10-Июн-16, (50) +1

Применение тайпсквоттинга для распространения..., Аноним, 16:18 , 10-Июн-16, (54)

Применение тайпсквоттинга для распространения..., Нониус, 13:14 , 14-Июн-16, (70)

Почевидное решение, тОпор, 22:29 , 10-Июн-16, (63)
Применение тайпсквоттинга для распространения вредоносных мо..., spotify.space, 23:18 , 10-Июн-16, (64)

Применение тайпсквоттинга для распространения вредоносных мо..., Никто, 15:02 , 11-Июн-16, (67)

Сообщения по теме [Сортировка по времени | RSS]

1. "Применение тайпсквоттинга для распространения вредоносных мо..." +6 +/–

Сообщение от rob pike on 09-Июн-16, 21:46

Теперь в npm встроят искуственный интеллект с десятком нейросетей, который будет проверять опечатки.
С "поколением Javascript" одно плохо - сколько попкорна не бери, все равно не хватает.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Применение тайпсквоттинга для распространения вредоносных мо..." +2 +/–

Сообщение от Crazy Alex (ok) on 09-Июн-16, 22:45

Ну, жертв джаваскрипта меньше всего... Но суть от этого не меняется.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

8. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от rob pike on 09-Июн-16, 23:15

Жертв джаваскрипта меньше всего - что?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

15. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Crazy Alex (ok) on 10-Июн-16, 01:37

"15221 хоста были поражены через пакеты PyPi, 1631 через rubygems и 525 через NPM"
Основная масса жертв - питонисты

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

26. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Нанобот (ok) on 10-Июн-16, 09:26

возможно, это просто значит, что юзеров pypi в семь раз больше, чем юзеров rubygems и npm, вместе взятых

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

34. "Применение тайпсквоттинга для распространения вредоносных мо..." –3 +/–

Сообщение от Crazy Alex (ok) on 10-Июн-16, 10:06

Вполне возможно. С другой стороны - серверного JS сейчас на вид не меньше, чем питона.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

32. "Применение тайпсквоттинга для распространения вредоносных мо..." +3 +/–

Сообщение от омномномнимус on 10-Июн-16, 09:55

новые времена - новые проблемы. С поколеним старперов тоже все плохо - раньше было лучше ;-)

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

39. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от rob pike on 10-Июн-16, 11:03

Огласите список "новых" проблем.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

42. "Применение тайпсквоттинга для распространения вредоносных мо..." +2 +/–

Сообщение от омномномнимус on 10-Июн-16, 11:42

тайпсквоттинг

Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

59. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от rob pike on 10-Июн-16, 17:57

Раздолбайство - проблема не новая.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

61. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Michael Shigorin (ok) on 10-Июн-16, 18:38

> Раздолбайство - проблема не новая.
И не всегда проблема: http://img-fotki.yandex.ru/get/3104/yurasikgor.3/0_1af70_405...

Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

62. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от омномномнимус on 10-Июн-16, 20:13

ну, с таким подходом все можно подвести под "раздолбайство"

Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

2. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Sabakwaka (ok) on 09-Июн-16, 22:24

Проблема в безграмотности владельцев/админов, а не в Javascript?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 09-Июн-16, 22:52

Это очень даже связанные вещи. Достойные плоды низкого порога вхождения и привычки к "хреняк, хреняк и в продакшен".

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

38. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 10:36

Когда злоумышленники регистрируют какой-нибудь vkontalke.ru, надеясь получить пароли от невнимательных пользователей, виноваты злоумышленники. Если тот же подход используется с NPM, виноват JavaScript, лол.
NPM не следит за пакетами и ничего не трогает - это плохо.
NPM следит за пакетами и по своей инициативе восстанавливает left-pad - снова плохо.
Веб-хейтеркам угодить тяжело :)

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

40. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 11:19

А вот и вебмакака подтянулась со своей попоболью.
"Репозиторий" в который кто угодно пихает что угодно и концов не найти. Макаки, тянущие оттуда не глядя, не пойми чего, хрен пойми зачем. Все хорошо веб-девелопмент кипит.

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

47. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от synweap (ok) on 10-Июн-16, 12:48

Может лучше вообще интернет запретим? А то по запросу "скачать винрар" открывается туева хуча сайтов сомнительного происхождения. Про "макак, тянущих оттуда не глядя", ты видимо из одного всем известного места высосал, потому как этот образ не является ничем, кроме как плодом твоей фантазии. Я, например, перепроверяю. (Но тебя-то это не волнует: реальному человеку, внимательно глядящему на вводимые в терминал символы, ты предпочтешь воображаемое чучело, которое критиковать легче всего.)
В любом проекте, использующем npm, 99% пакетов скачиваются по зависимостям, прописанных в package.json, так что ошибиться сложно. Как только администрация npm начнет удалять "фишинговые" пакеты, ты первым побежишь кричать об ущемлении швабодки шлова и "неувожении к розроботчикам", как это уже было в случае с left-pad. Я же говорю - веб-хейтерки найдут повод повозмущаться в любом случае.

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

53. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 16:15

Просто объясните как на 17289-х уникальных хостах оказались левые пакеты.

Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

56. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от synweap (ok) on 10-Июн-16, 17:34

Я откуда знаю. Мой npm-пакет с очень редким специфичным применением кто-то тоже однажды массово скачал > 10 000 раз, хотя он от силы пригодится одному человеку в год. Возможно какие-нибудь сервисы вроде супер-поиск-по-npm-с-сортировкой-по-звездочкам.io.

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

58. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 17:50

Угу. Сервисы, сервисы, 17289 одних сервисов.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

60. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от synweap (ok) on 10-Июн-16, 18:27

> 15221 хоста были поражены через пакеты PyPi, 1631 через rubygems и 525 через NPM.
Новость не читай
@
Камменты оставляй
@
Ненавидь веб всею душою своею

Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

68. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 11-Июн-16, 16:59

Как я и думал, по делу вам сказать нечего.

Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

27. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Нанобот (ok) on 10-Июн-16, 09:28

> Проблема в безграмотности владельцев/админов, а не в Javascript?
та вроде никто и не говорил, что проблема в javascript

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Применение тайпсквоттинга для распространения вредоносных мо..." +8 +/–

Сообщение от Аноним (??) on 09-Июн-16, 22:36

Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Аноним (??) on 10-Июн-16, 00:43

> Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные
В чем разница с обязательным подписанием RSA-ключами и ручным добавлением ключей в доверенные в PKI?

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

33. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 09:59

Очевидно тем что PGP ключ не обязательно RSA.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

24. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Нанобот (ok) on 10-Июн-16, 09:01

>Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные
верный способ отпугнуть 95% пользователей и привести всю систему в негодность
для большей эффективности рекомендую включить двух-, нет, лучше трёхфакторную авторизацию перед установкой каждого модуля!

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

29. "Применение тайпсквоттинга для распространения вредоносных мо..." +2 +/–

Сообщение от Andrey Mitrofanov on 10-Июн-16, 09:32

>>Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные
Не, велосипеды _должны_ быть разнообразны и неожиданны. "Просто работать" оно должно только в redhat-е (правда, я пока не разобрал -- в yum-е или dnf-е, или у них "плановое устаревание" в разгаре, поэтому я и путаюсь).
> верный способ отпугнуть 95% пользователей и привести всю систему в негодность
Оттуда, где гоняются за %-ами пользователей надо бежат, не оглядываясь. Там же наверху написано.
Вы лично где "службу несёте". Мне надо -- чтоб не вляпатьсся.
> перед установкой каждого модуля!

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

4. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 09-Июн-16, 22:36

> код был выполнен с правами администратора (!)
Может, это какие-нибудь докеры и прочие контейнеры, в которых это норма?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 06:29

Я знаю только за ноду.
В npm лежат не только модули к ноде, но, иногда, попадаются всякие вспомогательные утилиты, вроде генератора заготовки для экспресса или jshint. В всех инструкциях к этим "модулям", авторы считают что их детищем будут пользоваться ежедневно и поэтому пишут чтобы их поделия ставились с флагом -g (npm install -g jshint). После такой установки модули помещаются не в текущую директорию, из которой был вызван npm install, а куда-то в /usr и поэтому требуют права рута для инсталяции. Т.ч. npm install может запускаться с рутовскими правами не только в докере.
Если же пакеты запускаются в докере, то не понятно как у них считается статистика. Если люди доросли до докера в связке в нодой, то это явно случай девопса головного мозга. А это значит запуск юнит тестов на каждый чих, запуск приложения на нескольких серверах и т.п. Если это будет фигово сделано, то npm install может дергаться постоянно и один такой крупный проект может накрутить всю статистику с установкой модулей под рутом.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

30. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Moomintroll (ok) on 10-Июн-16, 09:38

> один такой крупный проект может накрутить всю статистику с установкой модулей под рутом
Вы невнимательно читаете:
"... было зафиксировано 45334 запросов от 17289 уникальных хостов"

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

37. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Crazy Alex (ok) on 10-Июн-16, 10:20

Уикальных IP, скорее всего. Если IPv6 у кого-то поднят - то запросто.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

5. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от AS (??) on 09-Июн-16, 22:40

так то это совсем капец.
ведь чтоб гарантировано защититься от этого -
никаких мощностей/человекоресурсов не хватит.
ну почему я в дворники не пошел ?
сидел бы шас бухал - горя не знал ..
но придется похоже разрабов идти пинать завтра -
уже по zabbиксу вижу, похоже цапнули с npm ом эту дрянь !

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Применение тайпсквоттинга для распространения вредоносных мо..." +4 +/–

Сообщение от Аноним (??) on 10-Июн-16, 00:03

>так то это совсем капец.
>ведь чтоб гарантировано защититься от этого -
>никаких мощностей/человекоресурсов не хватит.
>ну почему я в дворники не пошел ?
>сидел бы шас бухал - горя не знал ..
>но придется похоже разрабов идти пинать завтра -
>уже по zabbиксу вижу, похоже цапнули с npm ом эту дрянь !
Бухать меньше надо, тогда бред мерещаться по zabbix-у не будет и мания величия пропадёт.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "Применение тайпсквоттинга для распространения вредоносных мо..." +5 +/–

Сообщение от IZh. on 09-Июн-16, 23:45

А я сижу и жду, пока это болото не перебодит. Когда есть 100500 модулей, и сотня разных CSS-препроцессоров, фреймворком, менеджеров зависимостей и ещё много чего другого, то это как-то неправильно. Надеюсь, со временем останется не более десятой части от того, что есть.
Это многообразие плохо ещё и тем, что усилия разработчиков размазываются по миллиону проектов, вместо того, чтобы выпустить десяток-сотню, но супер.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 00:43

> А я сижу и жду, пока это болото не перебодит. Когда есть
> 100500 модулей, и сотня разных CSS-препроцессоров, фреймворком, менеджеров зависимостей
> и ещё много чего другого, то это как-то неправильно. Надеюсь, со
> временем останется не более десятой части от того, что есть.
> Это многообразие плохо ещё и тем, что усилия разработчиков размазываются по миллиону
> проектов, вместо того, чтобы выпустить десяток-сотню, но супер.
Ну? Логическую цепочку продолжай? Зачем нам 2048 дистров пингвина? Лучше десяток, но супер?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

17. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Crazy Alex (ok) on 10-Июн-16, 01:41

Разница в том, что у дистров пингвина очень крутая кривая распределения популярности. После первой десятки остаются какие-то жалкие следы. А если о промышленном использовании говорить - так и после пяти, пожалуй.
А там - весь зоопарк более-менее активно используется во вполне заметных масштабах.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

20. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от rob pike on 10-Июн-16, 04:50

Там кривая более пологая, может быть, но в целом похоже на пингвинов. Но с одной важной оговоркой - в произвольно взятый, но конкретный момент времени.
Там мода меняется быстрей, и издержки на смену одного на другого меньше, поэтому среди long tail никем не используемых модулей, у большой части был когда-то период популярности, хотя бы относительной. Звездочки в гитхабах остались, и модуль в репозитории. А внутри уже давно труха и заброшенный термитник.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

36. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Crazy Alex (ok) on 10-Июн-16, 10:13

Ну так, считай, при любом сравнении популярности надёте гауссиану - конечно похоже. Я бы различие проводил скорее в том, что линуксовый самопал всё же крайне редко тянут в коммерческую эксплуатацию.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

18. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от . on 10-Июн-16, 01:42

> Ну? Логическую цепочку продолжай? Зачем нам десяток дистров пингвина? Лучше один, но чтоб правил всеми? И продать .... 8-)
Хрен вам! ОСС - тем и силён что тут всего овердомного :) И у проприетарщиков шансов с каждым днём убавляется :)

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Michael Shigorin (ok) on 10-Июн-16, 07:16

> И у проприетарщиков шансов с каждым днём убавляется :)
Эк Вы жёстко ихнего добровольного (?) обслуживателя-то (это судя по типовым стираемым комментариям с того же адреса)...

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

28. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 09:30

Угу, по десктопу особенно видна смла этого подхода.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

51. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от hatersgonnahate on 10-Июн-16, 15:56

зачем столько комментариев - по одному на каждого зарегистрированного
зачем столько новостей - по одной в день
зачем столько сайтов - один, но крутой
один коммент, одна новость, один сайт! хейль!

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

19. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Онаним on 10-Июн-16, 04:49

Дожили...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Применение тайпсквоттинга для распространения вредоносных мо..." +2 +/–

Сообщение от Аноним (??) on 10-Июн-16, 08:52

Хипстерские подходы, увы... Почему-то эти ребята считают, что всю безопасность кто-то должен сделать за них.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Нанобот (ok) on 10-Июн-16, 09:23

просто разрабы расслабились, т.к. целевые атаки против них - большая редкость (и мне бы хотелось, чтоб так было и дальше)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

31. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от пучапучс on 10-Июн-16, 09:53

Вспоминается старая байка времен DOS.
Клиент vs саппорт.
...
-надо набирать install.exe
-но меня n не нажимается и я её на m заменяю.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

35. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Аноним (??) on 10-Июн-16, 10:13

> 8614 захваченных хостов работают под управлением Linux, 6174 - Windows и 4758 - OS X.
> 45334 запросов от 17289 уникальных хостов.
8614+6174+4758=19546
шутка о ста сорока шести процентах...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

41. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 11:22

Уникальный IP != уникальный хост.
Искренне ваш, К.О.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

48. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Шапкоед on 10-Июн-16, 12:57

Все еще хуже. Это виртуальные машины или virtualenv у питона. %-)

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

57. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от анином on 10-Июн-16, 17:38

Будте любезны, поясните - VPS это уникальный хост или просто уникальное IP?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

66. "Применение тайпсквоттинга для распространения вредоносных мо..." +2 +/–

Сообщение от Аноним (??) on 11-Июн-16, 00:21

> Будте любезны, поясните - VPS это уникальный хост или просто уникальное IP?
Да.

Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

43. "Применение тайпсквоттинга для распространения вредоносных мо..." –1 +/–

Сообщение от анон on 10-Июн-16, 11:46

что-что? кто-то еще не использует йомена и свои сценарии разворачивания окружения к нему? кто-то не пользуется package.json? есть не осилившие requirements.txt ?
не вижу особой проблемы. тем кто не пользуется этими вещами, не заходит на страницы с оригинальными пакетами на гитхаб, а пишет по памяти - ссзб.
ну а если есть дятлы которые ставят все подряд пакеты нода с флагом -g, то тут уже ничего не поможет. даже грант отказывается запускаться если он установлен не локально. по питону также - есть virtualenv, pip и ~.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "Применение тайпсквоттинга для распространения вредоносных мо..." +1 +/–

Сообщение от Аноним (??) on 10-Июн-16, 11:48

Есть репы с deb-пакетами. Всё остальное от лукавого.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

49. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Andrey Mitrofanov on 10-Июн-16, 13:12

> Есть репы с deb-пакетами. Всё остальное
Есть репы с р-п-м-ами, gpgcheck=0 и вперёд!
> от лукавого.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

50. "Применение тайпсквоттинга для распространения..." +1 +/–

Сообщение от arisu (ok) on 10-Июн-16, 14:52

> В качестве мер по противостоянию подобным атакам предлагается
…душить скрипт‐киддисов пока они ещё маленькие.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

54. "Применение тайпсквоттинга для распространения..." +/–

Сообщение от Аноним (??) on 10-Июн-16, 16:18

Похоже что уже поздно. Вон их сколько уже понабежало.

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

70. "Применение тайпсквоттинга для распространения..." +/–

Сообщение от Нониус on 14-Июн-16, 13:14

Два раза "уже" это пунктик

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

63. "Почевидное решение" +/–

Сообщение от тОпор on 10-Июн-16, 22:29

Система рейтингов для пакетов + право заверять пакеты тем, кому мы доверяем (10-20 коре разработчиков).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

64. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от spotify.space on 10-Июн-16, 23:18

Проблема высосана из пальца. Единственное, что надо запретить отъем названия пакета из лицензионных соображений, и то, только с согласия владельца пакета.
Плюс нужно предусмотреть фиксацию версий пакетов, чтобы сохранять обратную совместимость с существующимми приложениями.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

67. "Применение тайпсквоттинга для распространения вредоносных мо..." +/–

Сообщение от Никто (??) on 11-Июн-16, 15:02

- На сервере было зафиксировано 45334 запросов от 17289 уникальных хостов. В 43.6% случаев код был выполнен с правами администратора, позволяющими полностью контролировать операционную систему. Что Вы по этому думаете, господин эксперт?
- Проблема высосана из пальца.

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Применение тайпсквоттинга для распространения вредоносных мо..."	+6 +/–
Сообщение от rob pike on 09-Июн-16, 21:46
Теперь в npm встроят искуственный интеллект с десятком нейросетей, который будет проверять опечатки. С "поколением Javascript" одно плохо - сколько попкорна не бери, все равно не хватает.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	6. "Применение тайпсквоттинга для распространения вредоносных мо..."	+2 +/–
	Сообщение от Crazy Alex (ok) on 09-Июн-16, 22:45
	Ну, жертв джаваскрипта меньше всего... Но суть от этого не меняется.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	8. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от rob pike on 09-Июн-16, 23:15
	Жертв джаваскрипта меньше всего - что?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	15. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от Crazy Alex (ok) on 10-Июн-16, 01:37
	"15221 хоста были поражены через пакеты PyPi, 1631 через rubygems и 525 через NPM" Основная масса жертв - питонисты
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	26. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от Нанобот (ok) on 10-Июн-16, 09:26
	возможно, это просто значит, что юзеров pypi в семь раз больше, чем юзеров rubygems и npm, вместе взятых
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	34. "Применение тайпсквоттинга для распространения вредоносных мо..."	–3 +/–
	Сообщение от Crazy Alex (ok) on 10-Июн-16, 10:06
	Вполне возможно. С другой стороны - серверного JS сейчас на вид не меньше, чем питона.
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	32. "Применение тайпсквоттинга для распространения вредоносных мо..."	+3 +/–
	Сообщение от омномномнимус on 10-Июн-16, 09:55
	новые времена - новые проблемы. С поколеним старперов тоже все плохо - раньше было лучше ;-)
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	39. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от rob pike on 10-Июн-16, 11:03
	Огласите список "новых" проблем.
	Ответить \| Правка \| ^ к родителю #32 \| Наверх \| Cообщить модератору


	42. "Применение тайпсквоттинга для распространения вредоносных мо..."	+2 +/–
	Сообщение от омномномнимус on 10-Июн-16, 11:42
	тайпсквоттинг
	Ответить \| Правка \| ^ к родителю #39 \| Наверх \| Cообщить модератору


	59. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от rob pike on 10-Июн-16, 17:57
	Раздолбайство - проблема не новая.
	Ответить \| Правка \| ^ к родителю #42 \| Наверх \| Cообщить модератору


	61. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от Michael Shigorin (ok) on 10-Июн-16, 18:38
	> Раздолбайство - проблема не новая. И не всегда проблема: http://img-fotki.yandex.ru/get/3104/yurasikgor.3/0_1af70_405...
	Ответить \| Правка \| ^ к родителю #59 \| Наверх \| Cообщить модератору


	62. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от омномномнимус on 10-Июн-16, 20:13
	ну, с таким подходом все можно подвести под "раздолбайство"
	Ответить \| Правка \| ^ к родителю #59 \| Наверх \| Cообщить модератору

2. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
Сообщение от Sabakwaka (ok) on 09-Июн-16, 22:24
Проблема в безграмотности владельцев/админов, а не в Javascript?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	7. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 09-Июн-16, 22:52
	Это очень даже связанные вещи. Достойные плоды низкого порога вхождения и привычки к "хреняк, хреняк и в продакшен".
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	38. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 10:36
	Когда злоумышленники регистрируют какой-нибудь vkontalke.ru, надеясь получить пароли от невнимательных пользователей, виноваты злоумышленники. Если тот же подход используется с NPM, виноват JavaScript, лол. NPM не следит за пакетами и ничего не трогает - это плохо. NPM следит за пакетами и по своей инициативе восстанавливает left-pad - снова плохо. Веб-хейтеркам угодить тяжело :)
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	40. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 11:19
	А вот и вебмакака подтянулась со своей попоболью. "Репозиторий" в который кто угодно пихает что угодно и концов не найти. Макаки, тянущие оттуда не глядя, не пойми чего, хрен пойми зачем. Все хорошо веб-девелопмент кипит.
	Ответить \| Правка \| ^ к родителю #38 \| Наверх \| Cообщить модератору


	47. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от synweap (ok) on 10-Июн-16, 12:48
	Может лучше вообще интернет запретим? А то по запросу "скачать винрар" открывается туева хуча сайтов сомнительного происхождения. Про "макак, тянущих оттуда не глядя", ты видимо из одного всем известного места высосал, потому как этот образ не является ничем, кроме как плодом твоей фантазии. Я, например, перепроверяю. (Но тебя-то это не волнует: реальному человеку, внимательно глядящему на вводимые в терминал символы, ты предпочтешь воображаемое чучело, которое критиковать легче всего.) В любом проекте, использующем npm, 99% пакетов скачиваются по зависимостям, прописанных в package.json, так что ошибиться сложно. Как только администрация npm начнет удалять "фишинговые" пакеты, ты первым побежишь кричать об ущемлении швабодки шлова и "неувожении к розроботчикам", как это уже было в случае с left-pad. Я же говорю - веб-хейтерки найдут повод повозмущаться в любом случае.
	Ответить \| Правка \| ^ к родителю #40 \| Наверх \| Cообщить модератору


	53. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 16:15
	Просто объясните как на 17289-х уникальных хостах оказались левые пакеты.
	Ответить \| Правка \| ^ к родителю #47 \| Наверх \| Cообщить модератору


	56. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от synweap (ok) on 10-Июн-16, 17:34
	Я откуда знаю. Мой npm-пакет с очень редким специфичным применением кто-то тоже однажды массово скачал > 10 000 раз, хотя он от силы пригодится одному человеку в год. Возможно какие-нибудь сервисы вроде супер-поиск-по-npm-с-сортировкой-по-звездочкам.io.
	Ответить \| Правка \| ^ к родителю #53 \| Наверх \| Cообщить модератору


	58. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 17:50
	Угу. Сервисы, сервисы, 17289 одних сервисов.
	Ответить \| Правка \| ^ к родителю #56 \| Наверх \| Cообщить модератору


	60. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от synweap (ok) on 10-Июн-16, 18:27
	> 15221 хоста были поражены через пакеты PyPi, 1631 через rubygems и 525 через NPM. Новость не читай @ Камменты оставляй @ Ненавидь веб всею душою своею
	Ответить \| Правка \| ^ к родителю #58 \| Наверх \| Cообщить модератору


	68. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 11-Июн-16, 16:59
	Как я и думал, по делу вам сказать нечего.
	Ответить \| Правка \| ^ к родителю #60 \| Наверх \| Cообщить модератору


	27. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от Нанобот (ok) on 10-Июн-16, 09:28
	> Проблема в безграмотности владельцев/админов, а не в Javascript? та вроде никто и не говорил, что проблема в javascript
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору

3. "Применение тайпсквоттинга для распространения вредоносных мо..."	+8 +/–
Сообщение от Аноним (??) on 09-Июн-16, 22:36
Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	13. "Применение тайпсквоттинга для распространения вредоносных мо..."	+1 +/–
	Сообщение от Аноним (??) on 10-Июн-16, 00:43
	> Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные В чем разница с обязательным подписанием RSA-ключами и ручным добавлением ключей в доверенные в PKI?
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	33. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 09:59
	Очевидно тем что PGP ключ не обязательно RSA.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	24. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Нанобот (ok) on 10-Июн-16, 09:01
	>Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные верный способ отпугнуть 95% пользователей и привести всю систему в негодность для большей эффективности рекомендую включить двух-, нет, лучше трёхфакторную авторизацию перед установкой каждого модуля!
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	29. "Применение тайпсквоттинга для распространения вредоносных мо..."	+2 +/–
	Сообщение от Andrey Mitrofanov on 10-Июн-16, 09:32
	>>Обязательную pgp-подпись пакетов да ручное добавление ключей в доверенные Не, велосипеды _должны_ быть разнообразны и неожиданны. "Просто работать" оно должно только в redhat-е (правда, я пока не разобрал -- в yum-е или dnf-е, или у них "плановое устаревание" в разгаре, поэтому я и путаюсь). > верный способ отпугнуть 95% пользователей и привести всю систему в негодность Оттуда, где гоняются за %-ами пользователей надо бежат, не оглядываясь. Там же наверху написано. Вы лично где "службу несёте". Мне надо -- чтоб не вляпатьсся. > перед установкой каждого модуля!
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору

4. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
Сообщение от Аноним (??) on 09-Июн-16, 22:36
> код был выполнен с правами администратора (!) Может, это какие-нибудь докеры и прочие контейнеры, в которых это норма?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	21. "Применение тайпсквоттинга для распространения вредоносных мо..."	+/–
	Сообщение от Аноним (??) on 10-Июн-16, 06:29
	Я знаю только за ноду. В npm лежат не только модули к ноде, но, иногда, попадаются всякие вспомогательные утилиты, вроде генератора заготовки для экспресса или jshint. В всех инструкциях к этим "модулям", авторы считают что их детищем будут пользоваться ежедневно и поэтому пишут чтобы их поделия ставились с флагом -g (npm install -g jshint). После такой установки модули помещаются не в текущую директорию, из которой был вызван npm install, а куда-то в /usr и поэтому требуют права рута для инсталяции. Т.ч. npm install может запускаться с рутовскими правами не только в докере. Если же пакеты запускаются в докере, то не понятно как у них считается статистика. Если люди доросли до докера в связке в нодой, то это явно случай девопса головного мозга. А это значит запуск юнит тестов на каждый чих, запуск приложения на нескольких серверах и т.п. Если это будет фигово сделано, то npm install может дергаться постоянно и один такой крупный проект может накрутить всю статистику с установкой модулей под рутом.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору