![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/benoit-goujon.jpeg\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/04\/Medium-Blog.png\" "\\"Mittel")
<\/span><\/div>Einf\u00fchrung<\/h2><\/div>In traditionellen Industrien ist eine Lieferkette alles, was es einem Unternehmen erm\u00f6glicht, ein Produkt an den Kunden zu liefern. Wenn Sie zum Beispiel ein Croissant in der B\u00e4ckerei kaufen, sind alle Zutaten, die Verpackung und der Transport Teil der Lieferkette.<\/p>\n<\/div>
Im Softwarebereich ist eine Lieferkette alles, was sich auf Ihre Software auswirkt, bevor sie in Produktion geht. Sie umfasst alles von der Entwicklungsphase bis zum Ver\u00f6ffentlichungsprozess, einschlie\u00dflich des von Ihnen geschriebenen Codes, Ihrer Abh\u00e4ngigkeiten, Ihrer Build-Umgebung, Ihrer IDE, Ihrer Image-Registry - jede Komponente, mit der Ihre Software zu irgendeinem Zeitpunkt interagiert!<\/p>\n<\/div>
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit1.png\" "\\"Artikel-benoit1\\"")
<\/span><\/div>Der Begriff \u201cLieferkette\u201d ist in letzter Zeit aufgrund von Cyberangriffen mit weitreichenden Auswirkungen in den Vordergrund ger\u00fcckt. Unter allen Angriffen ist Solarwinds vielleicht der bekannteste. In der Tat waren die US-Regierung, gro\u00dfe Technologieunternehmen wie Microsoft und Intel, aber auch Krankenh\u00e4user, Energieversorger und Finanzinstitute davon betroffen.<\/p>\n
Ironischerweise ist die Grundursache die Infektion von Solarwinds Orion, einem Netzwerksicherheitsmonitor. Das Build-System war kompromittiert worden und alle neuen Versionen zwischen M\u00e4rz und Juni 2020 waren mit Malware infiziert. Das Ergebnis ist, dass alle Kunden, die ihre Software in diesem Zeitraum aktualisiert haben, infiziert wurden.<\/p>\n<\/div>
Auch wenn der Solarwinds-Angriff von den Medien weitgehend aufgegriffen wurde, gibt es Dutzende \u00e4hnlicher Angriffe, von denen wir noch nie geh\u00f6rt haben. Gl\u00fccklicherweise f\u00fchrt die Cloud Native Computing Foundation eine \u00dcbersicht \u00fcber alle diese Angriffe in einem\u00a0\u00f6ffentliches Depot<\/a>. Es mag Sie \u00fcberraschen, wie sehr sich diese Angriffe in den letzten Jahren beschleunigt haben.<\/p>\nEs ist nicht m\u00f6glich, alles, was mit der Sicherheit der Lieferkette zu tun hat, in einem einzigen Blog-Beitrag zu behandeln. Daher werden wir uns in diesem Artikel vor allem auf Projekte konzentrieren, die Python als Hauptsprache verwenden.<\/p>\n<\/div>
Wie Sie Ihre Abh\u00e4ngigkeiten in Python verwalten<\/h3><\/div>Obwohl Python eine \u201cBatterien enthalten\u201d-Philosophie verfolgt, ben\u00f6tigen Sie oft externe Bibliotheken, die Sie aus dem PyPI, dem offiziellen Paketindex, herunterladen k\u00f6nnen, und genau an diesem Punkt m\u00fcssen Sie sehr vorsichtig sein.<\/p>\n
Das Python-\u00d6kosystem wurde bereits ins Visier genommen, insbesondere durch den Einsatz von zwei Techniken:<\/p>\n<\/div>
- <\/i><\/span>Tippfehler-Squatting<\/div><\/li>
- <\/i><\/span>Verwirrung um Abh\u00e4ngigkeiten<\/div><\/li><\/ul>
Die erste Technik betrifft einen Befehl, den jeder Python-Entwickler im Laufe seiner Karriere mindestens einmal ausgef\u00fchrt hat:<\/p>\n
Pip-Installation <\/span><\/pre>\nHacker ver\u00f6ffentlichen Pakete mit fast demselben Namen wie bestehende Pakete in der Hoffnung, dass Sie einen Tippfehler machen und ihr Paket anstelle des offiziellen Pakets installieren. Zum Beispiel ein Paket namens\u00a0python3-dateutil<\/code>\u00a0anstelle des offiziellen\u00a0dateutil<\/code>\u00a0wurde\u00a0k\u00fcrzlich entdeckt<\/a>.<\/p>\nDie Python-Gemeinschaft ist\u00a0hart arbeitend<\/a>\u00a0um das Risiko zu mindern, aber das Risiko ist immer noch hoch.<\/p>\nDie zweite Technik, die Abh\u00e4ngigkeitsverwirrung, ist anspruchsvoller als die erste und hat damit zu tun, wie\u00a0pip<\/code>\u00a0arbeitet unter der Haube.<\/p>\nMit diesem Befehl setzen Sie sich dem Risiko aus:<\/p>\n
pip install --extra-index-url <\/span><\/pre>\nWenn Sie diesen Befehl eingeben, geschieht Folgendes:<\/p>\n<\/div>![\"Image\"](\"data:image\/svg+xml,%3Csvg%20xmlns%3D%27http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%27%20width%3D%27400%27%20height%3D%270%27%20viewBox%3D%270%200%20400%200%27%3E%3Crect%20width%3D%27400%27%20height%3D%270%27%20fill-opacity%3D%220%22%2F%3E%3C%2Fsvg%3E\")
Lassen Sie uns ein Beispiel nehmen:<\/p>\n<\/div>
In diesem Beispiel wird das Paket des b\u00f6swilligen Hackers auf dem Rechner installiert. Die h\u00f6here Versionsnummer befindet sich n\u00e4mlich auf dem \u00f6ffentlichen Paketindex.<\/p>\n
Sie haben vielleicht verstanden, was bei diesem Prozess schief gehen kann. Jemand mit schlechten Absichten kann Pakete in einem \u00f6ffentlichen Repository ver\u00f6ffentlichen, die die gleichen Namen haben wie die in internen Paketindizes gehosteten und sie mit einer l\u00e4cherlich hohen Versionsnummer versehen. Au\u00dferdem ist es gar nicht so schwer, relevante Paketnamen zu finden, denn\u00a0von diesem Sicherheitsforscher demonstriert<\/a>.<\/p>\nDieser Befehl k\u00f6nnte als \u201cinsecure by design\u201d bezeichnet werden. Dieser Angriff nutzt eine Funktion des Python-Paketmanagers aus und nur wenige Entwickler sind sich dieses Verhaltens bewusst.<\/p>\n<\/div>
Wie Sie sich vor diesen Angriffen auf die Lieferkette sch\u00fctzen k\u00f6nnen<\/h3><\/div>Um sich gegen Angriffe durch Tippfehler zu sch\u00fctzen, k\u00f6nnen Sie eine\u00a0Lock-Datei<\/strong>. A\u00a0gute Sperrdatei<\/a>\u00a0hat die folgenden Eigenschaften:<\/p>\n<\/div>- <\/i><\/span>\n
Version Pins:<\/strong>Sie machen Ihre Builds vorhersehbar und deterministisch.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Hashes:<\/strong>\u00a0Sie sind ein Weg, um die Integrit\u00e4t des Pakets zu \u00fcberpr\u00fcfen.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Vollst\u00e4ndiger Abh\u00e4ngigkeitsgraph:<\/strong> k\u00f6nnen Sie damit auch die Abh\u00e4ngigkeiten Ihrer Abh\u00e4ngigkeiten kontrollieren.<\/p>\n<\/div><\/li><\/ul>Die gute Nachricht ist, dass es ein Paket gibt, dessen Zweck es ist, eine Sperrdatei f\u00fcr Sie zu erstellen:\u00a0pip-tools<\/code>. Mit nur wenigen Befehlen k\u00f6nnen Sie eine Sperrdatei mit allen Attributen erstellen, die wir zuvor beschrieben haben.<\/p>\n<\/div>$ python3 -m venv my-env # Erstellen einer neuen virtuellen Umgebung\n<\/span>$ source my-env\/bin\/activate # aktivieren Sie es\n<\/span>$ pip install pip-tools==6.3.0 # installieren Sie das Paket, mit dem Sie\nIhre Abh\u00e4ngigkeiten richtig verwalten k\u00f6nnen\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # F\u00fcgen Sie das Paket Ihrer\nIhrer Wahl in requirements.in\n<\/span>$ pip-compile --generate-hashes # kompiliert requirements.txt mit\nHashes basierend auf dem, was Sie in requirements.in eingegeben haben<\/span><\/pre>\n<\/div>Ihre Datei requirements.txt sollte wie folgt aussehen:<\/p>\n<\/div>
Jetzt, da Sie diese Datei haben, die alle Ihre Abh\u00e4ngigkeiten mit den zugeh\u00f6rigen Versionen und Hashes enth\u00e4lt, k\u00f6nnen Sie bei der n\u00e4chsten Bereitstellung den folgenden Befehl ausf\u00fchren:<\/p>\n
pip install --require-hashes -r requirements.txt<\/span><\/pre>\nSo sind Sie sicher, dass die Pakete, die Sie in der Produktion verwenden, nicht ver\u00e4ndert wurden. Angenommen, Sie haben beim Schreiben Ihrer\u00a0Anforderungen.in<\/code>\u00a0Datei \ud83d\udc40, k\u00f6nnen Sie auch sicher sein, dass Sie das Paket herunterladen, das Sie wirklich wollen, da alles automatisiert ist. Kein Risiko eines Tippfehlers!<\/p>\nDiese bew\u00e4hrte Methode ist gut, um sich gegen Angriffe durch Tippfehler zu sch\u00fctzen, aber was ist mit der Verwirrung von Abh\u00e4ngigkeiten?<\/p>\n
Wenn Sie sich die\u00a0pip<\/code>\u00a0Dokumentation sehen Sie, dass es zwei Optionen gibt, mit denen Sie Pakete aus einem internen Repository herunterladen k\u00f6nnen:<\/p>\n<\/div>- <\/i><\/span>
--extra-index-url<\/code><\/div><\/li>- <\/i><\/span>\n
--index-url<\/code><\/p>\n<\/div><\/li><\/ul>In der Dokumentation steht:<\/p>\n<\/div>
Wie Sie sehen k\u00f6nnen, gibt es einen kleinen Unterschied zwischen den beiden und er ist auf den ersten Blick nicht offensichtlich. Der Unterschied besteht darin, dass Sie bei der Angabe der\u00a0--index-url<\/code>\u00a0Option,\u00a0pip<\/code>\u00a0w\u00fcrde nur Pakete aus dem Repository mit der von Ihnen angegebenen URL beziehen und nicht aus \u00f6ffentlichen Repositorys. Wenn Sie also das oben beschriebene Verhalten vermeiden m\u00f6chten, verwenden Sie\u00a0--index-url<\/code>\u00a0eher als\u00a0--extra-index-url<\/code>\u00a0und Sie werden sicher sein!<\/p>\nUm schlie\u00dflich die neuesten Sicherheitsl\u00fccken zu verfolgen, die in Ihren Abh\u00e4ngigkeiten entdeckt werden, k\u00f6nnen Sie regelm\u00e4\u00dfig die\u00a0GitHub-Beratung database<\/a>\u00a0oder besser, nutzen Sie Tools wie\u00a0dependabot<\/a>\u00a0das automatisch eine Pull-Anfrage an Ihr Repository sendet, um eine Abh\u00e4ngigkeit zu aktualisieren, in der k\u00fcrzlich eine kritische Sicherheitsl\u00fccke entdeckt wurde.<\/p>\n<\/div>Zusammenfassung<\/h2><\/div>In diesem Artikel haben wir das Konzept der Lieferkette f\u00fcr die Softwarewelt vorgestellt. Wir haben speziell untersucht, wie dieses Konzept auf das Python-\u00d6kosystem anwendbar ist. Typo-Squatting und Abh\u00e4ngigkeitsverwirrung wurden erkl\u00e4rt und L\u00f6sungen vorgeschlagen, um das Risiko einer Gef\u00e4hrdung zu mindern.<\/p>\n
Diese kurze Einf\u00fchrung in die Sicherheit der Lieferkette hat nur die Spitze des Eisbergs abgedeckt, wir hatten keine Gelegenheit, dar\u00fcber zu sprechen, wie\u00a0Systeme aufbauen<\/a>\u00a0oder sogar Ihr\u00a0IDEs<\/a> kompromittiert werden kann, aber das ist ein Thema f\u00fcr einen anderen Artikel!<\/p>\nDanke, dass Sie so weit gelesen haben! Ich w\u00fcrde mich freuen, Ihr Feedback zu h\u00f6ren. Wenn Ihnen die Lekt\u00fcre gefallen hat, schauen Sie doch mal bei unserem\u00a0Offene Stellen<\/a>\u00a0bei Artefact \ud83d\ude42<\/p>\n<\/div><\/div><\/div><\/div><\/article>
In traditionellen Industrien ist eine Lieferkette alles, was es einem Unternehmen erm\u00f6glicht, ein Produkt an den Kunden zu liefern. Wenn Sie zum Beispiel ein Croissant in der B\u00e4ckerei kaufen, sind alle Zutaten, die Verpackung und der Transport Teil der Lieferkette.<\/p>\n<\/div>
Im Softwarebereich ist eine Lieferkette alles, was sich auf Ihre Software auswirkt, bevor sie in Produktion geht. Sie umfasst alles von der Entwicklungsphase bis zum Ver\u00f6ffentlichungsprozess, einschlie\u00dflich des von Ihnen geschriebenen Codes, Ihrer Abh\u00e4ngigkeiten, Ihrer Build-Umgebung, Ihrer IDE, Ihrer Image-Registry - jede Komponente, mit der Ihre Software zu irgendeinem Zeitpunkt interagiert!<\/p>\n<\/div>
<\/span><\/div>Der Begriff \u201cLieferkette\u201d ist in letzter Zeit aufgrund von Cyberangriffen mit weitreichenden Auswirkungen in den Vordergrund ger\u00fcckt. Unter allen Angriffen ist Solarwinds vielleicht der bekannteste. In der Tat waren die US-Regierung, gro\u00dfe Technologieunternehmen wie Microsoft und Intel, aber auch Krankenh\u00e4user, Energieversorger und Finanzinstitute davon betroffen.<\/p>\n
Ironischerweise ist die Grundursache die Infektion von Solarwinds Orion, einem Netzwerksicherheitsmonitor. Das Build-System war kompromittiert worden und alle neuen Versionen zwischen M\u00e4rz und Juni 2020 waren mit Malware infiziert. Das Ergebnis ist, dass alle Kunden, die ihre Software in diesem Zeitraum aktualisiert haben, infiziert wurden.<\/p>\n<\/div>
Auch wenn der Solarwinds-Angriff von den Medien weitgehend aufgegriffen wurde, gibt es Dutzende \u00e4hnlicher Angriffe, von denen wir noch nie geh\u00f6rt haben. Gl\u00fccklicherweise f\u00fchrt die Cloud Native Computing Foundation eine \u00dcbersicht \u00fcber alle diese Angriffe in einem\u00a0\u00f6ffentliches Depot<\/a>. Es mag Sie \u00fcberraschen, wie sehr sich diese Angriffe in den letzten Jahren beschleunigt haben.<\/p>\n Es ist nicht m\u00f6glich, alles, was mit der Sicherheit der Lieferkette zu tun hat, in einem einzigen Blog-Beitrag zu behandeln. Daher werden wir uns in diesem Artikel vor allem auf Projekte konzentrieren, die Python als Hauptsprache verwenden.<\/p>\n<\/div> Obwohl Python eine \u201cBatterien enthalten\u201d-Philosophie verfolgt, ben\u00f6tigen Sie oft externe Bibliotheken, die Sie aus dem PyPI, dem offiziellen Paketindex, herunterladen k\u00f6nnen, und genau an diesem Punkt m\u00fcssen Sie sehr vorsichtig sein.<\/p>\n Das Python-\u00d6kosystem wurde bereits ins Visier genommen, insbesondere durch den Einsatz von zwei Techniken:<\/p>\n<\/div> Die erste Technik betrifft einen Befehl, den jeder Python-Entwickler im Laufe seiner Karriere mindestens einmal ausgef\u00fchrt hat:<\/p>\n Hacker ver\u00f6ffentlichen Pakete mit fast demselben Namen wie bestehende Pakete in der Hoffnung, dass Sie einen Tippfehler machen und ihr Paket anstelle des offiziellen Pakets installieren. Zum Beispiel ein Paket namens\u00a0 Die Python-Gemeinschaft ist\u00a0hart arbeitend<\/a>\u00a0um das Risiko zu mindern, aber das Risiko ist immer noch hoch.<\/p>\n Die zweite Technik, die Abh\u00e4ngigkeitsverwirrung, ist anspruchsvoller als die erste und hat damit zu tun, wie\u00a0 Mit diesem Befehl setzen Sie sich dem Risiko aus:<\/p>\n Wenn Sie diesen Befehl eingeben, geschieht Folgendes:<\/p>\n<\/div> Lassen Sie uns ein Beispiel nehmen:<\/p>\n<\/div> In diesem Beispiel wird das Paket des b\u00f6swilligen Hackers auf dem Rechner installiert. Die h\u00f6here Versionsnummer befindet sich n\u00e4mlich auf dem \u00f6ffentlichen Paketindex.<\/p>\n Sie haben vielleicht verstanden, was bei diesem Prozess schief gehen kann. Jemand mit schlechten Absichten kann Pakete in einem \u00f6ffentlichen Repository ver\u00f6ffentlichen, die die gleichen Namen haben wie die in internen Paketindizes gehosteten und sie mit einer l\u00e4cherlich hohen Versionsnummer versehen. Au\u00dferdem ist es gar nicht so schwer, relevante Paketnamen zu finden, denn\u00a0von diesem Sicherheitsforscher demonstriert<\/a>.<\/p>\n Dieser Befehl k\u00f6nnte als \u201cinsecure by design\u201d bezeichnet werden. Dieser Angriff nutzt eine Funktion des Python-Paketmanagers aus und nur wenige Entwickler sind sich dieses Verhaltens bewusst.<\/p>\n<\/div> Um sich gegen Angriffe durch Tippfehler zu sch\u00fctzen, k\u00f6nnen Sie eine\u00a0Lock-Datei<\/strong>. A\u00a0gute Sperrdatei<\/a>\u00a0hat die folgenden Eigenschaften:<\/p>\n<\/div> Version Pins:<\/strong>Sie machen Ihre Builds vorhersehbar und deterministisch.<\/p>\n<\/div><\/li> Hashes:<\/strong>\u00a0Sie sind ein Weg, um die Integrit\u00e4t des Pakets zu \u00fcberpr\u00fcfen.<\/p>\n<\/div><\/li> Vollst\u00e4ndiger Abh\u00e4ngigkeitsgraph:<\/strong> k\u00f6nnen Sie damit auch die Abh\u00e4ngigkeiten Ihrer Abh\u00e4ngigkeiten kontrollieren.<\/p>\n<\/div><\/li><\/ul> Die gute Nachricht ist, dass es ein Paket gibt, dessen Zweck es ist, eine Sperrdatei f\u00fcr Sie zu erstellen:\u00a0 Ihre Datei requirements.txt sollte wie folgt aussehen:<\/p>\n<\/div> Jetzt, da Sie diese Datei haben, die alle Ihre Abh\u00e4ngigkeiten mit den zugeh\u00f6rigen Versionen und Hashes enth\u00e4lt, k\u00f6nnen Sie bei der n\u00e4chsten Bereitstellung den folgenden Befehl ausf\u00fchren:<\/p>\n So sind Sie sicher, dass die Pakete, die Sie in der Produktion verwenden, nicht ver\u00e4ndert wurden. Angenommen, Sie haben beim Schreiben Ihrer\u00a0 Diese bew\u00e4hrte Methode ist gut, um sich gegen Angriffe durch Tippfehler zu sch\u00fctzen, aber was ist mit der Verwirrung von Abh\u00e4ngigkeiten?<\/p>\n Wenn Sie sich die\u00a0 In der Dokumentation steht:<\/p>\n<\/div> Wie Sie sehen k\u00f6nnen, gibt es einen kleinen Unterschied zwischen den beiden und er ist auf den ersten Blick nicht offensichtlich. Der Unterschied besteht darin, dass Sie bei der Angabe der\u00a0 Um schlie\u00dflich die neuesten Sicherheitsl\u00fccken zu verfolgen, die in Ihren Abh\u00e4ngigkeiten entdeckt werden, k\u00f6nnen Sie regelm\u00e4\u00dfig die\u00a0GitHub-Beratung database<\/a>\u00a0oder besser, nutzen Sie Tools wie\u00a0dependabot<\/a>\u00a0das automatisch eine Pull-Anfrage an Ihr Repository sendet, um eine Abh\u00e4ngigkeit zu aktualisieren, in der k\u00fcrzlich eine kritische Sicherheitsl\u00fccke entdeckt wurde.<\/p>\n<\/div> In diesem Artikel haben wir das Konzept der Lieferkette f\u00fcr die Softwarewelt vorgestellt. Wir haben speziell untersucht, wie dieses Konzept auf das Python-\u00d6kosystem anwendbar ist. Typo-Squatting und Abh\u00e4ngigkeitsverwirrung wurden erkl\u00e4rt und L\u00f6sungen vorgeschlagen, um das Risiko einer Gef\u00e4hrdung zu mindern.<\/p>\n Diese kurze Einf\u00fchrung in die Sicherheit der Lieferkette hat nur die Spitze des Eisbergs abgedeckt, wir hatten keine Gelegenheit, dar\u00fcber zu sprechen, wie\u00a0Systeme aufbauen<\/a>\u00a0oder sogar Ihr\u00a0IDEs<\/a> kompromittiert werden kann, aber das ist ein Thema f\u00fcr einen anderen Artikel!<\/p>\n Danke, dass Sie so weit gelesen haben! Ich w\u00fcrde mich freuen, Ihr Feedback zu h\u00f6ren. Wenn Ihnen die Lekt\u00fcre gefallen hat, schauen Sie doch mal bei unserem\u00a0Offene Stellen<\/a>\u00a0bei Artefact \ud83d\ude42<\/p>\n<\/div><\/div><\/div><\/div><\/article>Wie Sie Ihre Abh\u00e4ngigkeiten in Python verwalten<\/h3><\/div>
Pip-Installation <\/span><\/pre>\npython3-dateutil<\/code>\u00a0anstelle des offiziellen\u00a0dateutil<\/code>\u00a0wurde\u00a0k\u00fcrzlich entdeckt<\/a>.<\/p>\npip<\/code>\u00a0arbeitet unter der Haube.<\/p>\npip install --extra-index-url <\/span><\/pre>\nWie Sie sich vor diesen Angriffen auf die Lieferkette sch\u00fctzen k\u00f6nnen<\/h3><\/div>
pip-tools<\/code>. Mit nur wenigen Befehlen k\u00f6nnen Sie eine Sperrdatei mit allen Attributen erstellen, die wir zuvor beschrieben haben.<\/p>\n<\/div>$ python3 -m venv my-env # Erstellen einer neuen virtuellen Umgebung\n<\/span>$ source my-env\/bin\/activate # aktivieren Sie es\n<\/span>$ pip install pip-tools==6.3.0 # installieren Sie das Paket, mit dem Sie\nIhre Abh\u00e4ngigkeiten richtig verwalten k\u00f6nnen\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # F\u00fcgen Sie das Paket Ihrer\nIhrer Wahl in requirements.in\n<\/span>$ pip-compile --generate-hashes # kompiliert requirements.txt mit\nHashes basierend auf dem, was Sie in requirements.in eingegeben haben<\/span><\/pre>\n<\/div>pip install --require-hashes -r requirements.txt<\/span><\/pre>\nAnforderungen.in<\/code>\u00a0Datei \ud83d\udc40, k\u00f6nnen Sie auch sicher sein, dass Sie das Paket herunterladen, das Sie wirklich wollen, da alles automatisiert ist. Kein Risiko eines Tippfehlers!<\/p>\npip<\/code>\u00a0Dokumentation sehen Sie, dass es zwei Optionen gibt, mit denen Sie Pakete aus einem internen Repository herunterladen k\u00f6nnen:<\/p>\n<\/div>--extra-index-url<\/code><\/div><\/li>--index-url<\/code><\/p>\n<\/div><\/li><\/ul>--index-url<\/code>\u00a0Option,\u00a0pip<\/code>\u00a0w\u00fcrde nur Pakete aus dem Repository mit der von Ihnen angegebenen URL beziehen und nicht aus \u00f6ffentlichen Repositorys. Wenn Sie also das oben beschriebene Verhalten vermeiden m\u00f6chten, verwenden Sie\u00a0--index-url<\/code>\u00a0eher als\u00a0--extra-index-url<\/code>\u00a0und Sie werden sicher sein!<\/p>\nZusammenfassung<\/h2><\/div>
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit2.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/Article-benoit3.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit4.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit5.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit6.png\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/03\/medium.png\" "\\"mittel\\"")
<\/span><\/div>