![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/benoit-goujon.jpeg\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/04\/Medium-Blog.png\" "\\"Mediano")
<\/span><\/div>Introducci\u00f3n<\/h2><\/div>En las industrias tradicionales, una cadena de suministro es todo aquello que permite a una empresa entregar un producto al cliente. Por ejemplo, cuando usted compra un cruas\u00e1n en la panader\u00eda, todos los ingredientes, el envasado y el transporte forman parte de la cadena de suministro.<\/p>\n<\/div>
En el \u00e1mbito del software, una cadena de suministro es cualquier cosa que afecte a su software antes de su despliegue en producci\u00f3n. Abarca todo, desde la fase de desarrollo hasta el proceso de lanzamiento, incluido el c\u00f3digo que usted escribi\u00f3, sus dependencias, su entorno de compilaci\u00f3n, su IDE, su registro de im\u00e1genes... \u00a1todos los componentes con los que interact\u00faa su software en cualquier momento!<\/p>\n<\/div>
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit1.png\" "\\"art\u00edculo-benoit1\\"")
<\/span><\/div>El t\u00e9rmino \u201ccadena de suministro\u201d ha salido a la luz recientemente debido a ciberataques que tuvieron un amplio impacto. Entre todos los ataques, el de Solarwinds puede que sea el m\u00e1s famoso. De hecho, se han visto afectados el gobierno estadounidense, grandes empresas tecnol\u00f3gicas como Microsoft e Intel, pero tambi\u00e9n hospitales, compa\u00f1\u00edas el\u00e9ctricas e instituciones financieras.<\/p>\n
Ir\u00f3nicamente, la causa ra\u00edz es la infecci\u00f3n de Solarwinds Orion, un monitor de seguridad de red. El sistema de compilaci\u00f3n hab\u00eda sido comprometido y todas las nuevas versiones entre marzo y junio de 2020 fueron infectadas por malware. El resultado es que todos los clientes que actualizaron su software durante ese periodo se vieron comprometidos.<\/p>\n<\/div>
Aunque el ataque de Solarwinds ha sido ampliamente cubierto por los medios de comunicaci\u00f3n, existen docenas de ataques similares de los que nunca hemos o\u00eddo hablar. Afortunadamente, la Cloud Native Computing Foundation hace un seguimiento de todos ellos en un\u00a0dep\u00f3sito p\u00fablico<\/a>. Puede que le sorprenda la aceleraci\u00f3n de estos ataques en los \u00faltimos a\u00f1os.<\/p>\nAbarcar todo lo relacionado con la seguridad de la cadena de suministro no es factible en una sola entrada de blog, por lo que en este art\u00edculo nos centraremos especialmente en los proyectos que utilizan Python como lenguaje principal.<\/p>\n<\/div>
C\u00f3mo gestionar sus dependencias en Python<\/h3><\/div>Aunque Python tiene una filosof\u00eda de \u201cpilas incluidas\u201d, a menudo necesita bibliotecas externas que puede descargar de PyPI, el \u00edndice oficial de paquetes, y es en este punto donde debe tener mucho cuidado.<\/p>\n
El ecosistema Python ya ha sido objeto de ataques, en particular mediante el uso de dos t\u00e9cnicas:<\/p>\n<\/div>
- <\/i><\/span>Typo-squatting<\/div><\/li>
- <\/i><\/span>Confusi\u00f3n de dependencia<\/div><\/li><\/ul>
La primera t\u00e9cnica afecta a un comando que todo desarrollador de Python ha ejecutado al menos una vez a lo largo de su carrera:<\/p>\n
pip install <\/span><\/pre>\nLos piratas inform\u00e1ticos publican paquetes casi con el mismo nombre que los paquetes existentes con la esperanza de que usted cometa un error tipogr\u00e1fico e instale su paquete en lugar del paquete oficial. Por ejemplo, un paquete llamado\u00a0python3-dateutil<\/code>\u00a0en lugar del oficial\u00a0dateutil<\/code>\u00a0ha sido\u00a0detectado recientemente<\/a>.<\/p>\nLa comunidad python es\u00a0trabajando duro<\/a>\u00a0para mitigar el riesgo, pero \u00e9ste sigue siendo elevado.<\/p>\nLa segunda t\u00e9cnica, la confusi\u00f3n de dependencia, es m\u00e1s sofisticada que la primera y tiene que ver con c\u00f3mo\u00a0pip<\/code>\u00a0funciona bajo el cap\u00f3.<\/p>\nEsta vez, este comando le expone al riesgo:<\/p>\n
pip install --extra-index-url <\/span><\/pre>\nCuando escriba este comando, esto es lo que ocurre:<\/p>\n<\/div>![\"Image\"](\"data:image\/svg+xml,%3Csvg%20xmlns%3D%27http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%27%20width%3D%27400%27%20height%3D%270%27%20viewBox%3D%270%200%20400%200%27%3E%3Crect%20width%3D%27400%27%20height%3D%270%27%20fill-opacity%3D%220%22%2F%3E%3C%2Fsvg%3E\")
Pongamos un ejemplo:<\/p>\n<\/div>
En este ejemplo, el paquete del hacker malicioso se instalar\u00e1 en la m\u00e1quina. De hecho, el n\u00famero de versi\u00f3n m\u00e1s alto se encuentra en el \u00edndice p\u00fablico de paquetes.<\/p>\n
Es posible que haya comprendido lo que puede salir mal en este proceso. Alguien con malas intenciones puede publicar paquetes en un repositorio p\u00fablico que tengan los mismos nombres que los alojados en los \u00edndices de paquetes internos y etiquetarlos con un n\u00famero de versi\u00f3n rid\u00edculamente alto. Adem\u00e1s, encontrar nombres de paquetes relevantes no es tan dif\u00edcil como\u00a0demostrado por este investigador de seguridad<\/a>.<\/p>\nEste comando podr\u00eda calificarse como \u201cinseguro por dise\u00f1o\u201d. Este ataque aprovecha una caracter\u00edstica del gestor de paquetes de Python y s\u00f3lo unos pocos desarrolladores son conscientes de este comportamiento.<\/p>\n<\/div>
C\u00f3mo defenderse de estos ataques a la cadena de suministro<\/h3><\/div>Para defenderse de los ataques de typo-squatting, puede utilizar un\u00a0archivo de bloqueo<\/strong>. A\u00a0buen archivo de bloqueo<\/a>\u00a0tiene los siguientes atributos:<\/p>\n<\/div>- <\/i><\/span>\n
Pasadores de versi\u00f3n:<\/strong>hacen que sus construcciones sean predecibles y deterministas.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Hashes:<\/strong>\u00a0son una forma de verificar la integridad del paquete.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Gr\u00e1fico de dependencia completo:<\/strong> esto le permite controlar tambi\u00e9n las dependencias de sus dependencias.<\/p>\n<\/div><\/li><\/ul>La buena noticia es que existe un paquete cuyo prop\u00f3sito es crear un archivo de bloqueo para usted:\u00a0pip-tools<\/code>. Con s\u00f3lo unos pocos comandos, puede generar un archivo de bloqueo con todos los atributos que hemos descrito anteriormente.<\/p>\n<\/div>$ python3 -m venv mi-env # crear un nuevo entorno virtual\n<\/span>$ source my-env\/bin\/activate # act\u00edvelo\n<\/span>$ pip install pip-tools==6.3.0 # instale el paquete que le permitir\u00e1\ngestionar correctamente sus dependencias\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # a\u00f1ada el paquete de\nsu elecci\u00f3n en requirements.in\n<\/span>$ pip-compile --generate-hashes # compila requirements.txt con\nhashes bas\u00e1ndose en lo que ponga en requirements.in<\/span><\/pre>\n<\/div>Su archivo requirements.txt deber\u00eda tener este aspecto:<\/p>\n<\/div>
Ahora que tiene este archivo que contiene todas sus dependencias con sus versiones y hashes asociados, puede ejecutar el siguiente comando la pr\u00f3xima vez que despliegue:<\/p>\n
pip install --require-hashes -r requisitos.txt<\/span><\/pre>\nAs\u00ed, estar\u00e1 seguro de que los paquetes que utiliza en producci\u00f3n no han sido alterados. Suponiendo que haya tenido cuidado al escribir su\u00a0requisitos.en<\/code>\u00a0archivo \ud83d\udc40, tambi\u00e9n puede estar seguro de que descargar\u00e1 el paquete que realmente desea, ya que todo est\u00e1 automatizado. \u00a1Sin riesgo de error tipogr\u00e1fico!<\/p>\nEsta pr\u00e1ctica recomendada es buena para defenderse de los ataques de \"typo-squatting\", pero \u00bfqu\u00e9 ocurre con la confusi\u00f3n de dependencias?<\/p>\n
Si se fija en el\u00a0pip<\/code>\u00a0ver\u00e1 que hay dos opciones que puede utilizar para descargar paquetes de un repositorio interno:<\/p>\n<\/div>- <\/i><\/span>
--extra-index-url<\/code><\/div><\/li>- <\/i><\/span>\n
--index-url<\/code><\/p>\n<\/div><\/li><\/ul>La documentaci\u00f3n dice:<\/p>\n<\/div>
Como puede ver, hay una ligera diferencia entre ambos y no es evidente a primera vista. La diferencia es que si especifica el\u00a0--index-url<\/code>\u00a0opci\u00f3n,\u00a0pip<\/code>\u00a0s\u00f3lo extraer\u00eda paquetes del repositorio con la URL que usted proporcion\u00f3, y no de repositorios p\u00fablicos. As\u00ed que, si quiere evitar el comportamiento que hemos descrito antes, utilice\u00a0--index-url<\/code>\u00a0en lugar de\u00a0--extra-index-url<\/code>\u00a0\u00a1y estar\u00e1 a salvo!<\/p>\nPor \u00faltimo, para seguir las \u00faltimas vulnerabilidades que se descubran en sus dependencias, puede optar por comprobar peri\u00f3dicamente el archivo\u00a0GitHub asesor database<\/a>\u00a0o mejor, aproveche herramientas como\u00a0dependabot<\/a>\u00a0que enviar\u00e1 autom\u00e1ticamente un pull request en su repo para actualizar una dependencia en la que se haya identificado recientemente una vulnerabilidad cr\u00edtica.<\/p>\n<\/div>Resumen<\/h2><\/div>En este art\u00edculo, introdujimos el concepto de cadena de suministro para el mundo del software. En concreto, hemos estudiado c\u00f3mo se aplica este concepto al ecosistema Python. Se han explicado el typo-squatting y la confusi\u00f3n de dependencias y se han propuesto soluciones para mitigar el riesgo de verse comprometido.<\/p>\n
Esta r\u00e1pida introducci\u00f3n a la seguridad de la cadena de suministro s\u00f3lo ha cubierto la punta del iceberg, no hemos tenido la oportunidad de hablar de c\u00f3mo\u00a0construir sistemas<\/a>\u00a0o incluso su\u00a0IDEs<\/a> puede verse comprometida, \u00a1pero eso lo dejo para otro art\u00edculo!<\/p>\nGracias por leer hasta aqu\u00ed. Estar\u00e9 encantada de escuchar sus comentarios. Si le ha gustado la lectura, no dude en consultar nuestro\u00a0puestos vacantes<\/a>\u00a0en Artefact \ud83d\ude42 .<\/p>\n<\/div><\/div><\/div><\/div><\/article>
En las industrias tradicionales, una cadena de suministro es todo aquello que permite a una empresa entregar un producto al cliente. Por ejemplo, cuando usted compra un cruas\u00e1n en la panader\u00eda, todos los ingredientes, el envasado y el transporte forman parte de la cadena de suministro.<\/p>\n<\/div>
En el \u00e1mbito del software, una cadena de suministro es cualquier cosa que afecte a su software antes de su despliegue en producci\u00f3n. Abarca todo, desde la fase de desarrollo hasta el proceso de lanzamiento, incluido el c\u00f3digo que usted escribi\u00f3, sus dependencias, su entorno de compilaci\u00f3n, su IDE, su registro de im\u00e1genes... \u00a1todos los componentes con los que interact\u00faa su software en cualquier momento!<\/p>\n<\/div>
<\/span><\/div>El t\u00e9rmino \u201ccadena de suministro\u201d ha salido a la luz recientemente debido a ciberataques que tuvieron un amplio impacto. Entre todos los ataques, el de Solarwinds puede que sea el m\u00e1s famoso. De hecho, se han visto afectados el gobierno estadounidense, grandes empresas tecnol\u00f3gicas como Microsoft e Intel, pero tambi\u00e9n hospitales, compa\u00f1\u00edas el\u00e9ctricas e instituciones financieras.<\/p>\n
Ir\u00f3nicamente, la causa ra\u00edz es la infecci\u00f3n de Solarwinds Orion, un monitor de seguridad de red. El sistema de compilaci\u00f3n hab\u00eda sido comprometido y todas las nuevas versiones entre marzo y junio de 2020 fueron infectadas por malware. El resultado es que todos los clientes que actualizaron su software durante ese periodo se vieron comprometidos.<\/p>\n<\/div>
Aunque el ataque de Solarwinds ha sido ampliamente cubierto por los medios de comunicaci\u00f3n, existen docenas de ataques similares de los que nunca hemos o\u00eddo hablar. Afortunadamente, la Cloud Native Computing Foundation hace un seguimiento de todos ellos en un\u00a0dep\u00f3sito p\u00fablico<\/a>. Puede que le sorprenda la aceleraci\u00f3n de estos ataques en los \u00faltimos a\u00f1os.<\/p>\n Abarcar todo lo relacionado con la seguridad de la cadena de suministro no es factible en una sola entrada de blog, por lo que en este art\u00edculo nos centraremos especialmente en los proyectos que utilizan Python como lenguaje principal.<\/p>\n<\/div> Aunque Python tiene una filosof\u00eda de \u201cpilas incluidas\u201d, a menudo necesita bibliotecas externas que puede descargar de PyPI, el \u00edndice oficial de paquetes, y es en este punto donde debe tener mucho cuidado.<\/p>\n El ecosistema Python ya ha sido objeto de ataques, en particular mediante el uso de dos t\u00e9cnicas:<\/p>\n<\/div> La primera t\u00e9cnica afecta a un comando que todo desarrollador de Python ha ejecutado al menos una vez a lo largo de su carrera:<\/p>\n Los piratas inform\u00e1ticos publican paquetes casi con el mismo nombre que los paquetes existentes con la esperanza de que usted cometa un error tipogr\u00e1fico e instale su paquete en lugar del paquete oficial. Por ejemplo, un paquete llamado\u00a0 La comunidad python es\u00a0trabajando duro<\/a>\u00a0para mitigar el riesgo, pero \u00e9ste sigue siendo elevado.<\/p>\n La segunda t\u00e9cnica, la confusi\u00f3n de dependencia, es m\u00e1s sofisticada que la primera y tiene que ver con c\u00f3mo\u00a0 Esta vez, este comando le expone al riesgo:<\/p>\n Cuando escriba este comando, esto es lo que ocurre:<\/p>\n<\/div> Pongamos un ejemplo:<\/p>\n<\/div> En este ejemplo, el paquete del hacker malicioso se instalar\u00e1 en la m\u00e1quina. De hecho, el n\u00famero de versi\u00f3n m\u00e1s alto se encuentra en el \u00edndice p\u00fablico de paquetes.<\/p>\n Es posible que haya comprendido lo que puede salir mal en este proceso. Alguien con malas intenciones puede publicar paquetes en un repositorio p\u00fablico que tengan los mismos nombres que los alojados en los \u00edndices de paquetes internos y etiquetarlos con un n\u00famero de versi\u00f3n rid\u00edculamente alto. Adem\u00e1s, encontrar nombres de paquetes relevantes no es tan dif\u00edcil como\u00a0demostrado por este investigador de seguridad<\/a>.<\/p>\n Este comando podr\u00eda calificarse como \u201cinseguro por dise\u00f1o\u201d. Este ataque aprovecha una caracter\u00edstica del gestor de paquetes de Python y s\u00f3lo unos pocos desarrolladores son conscientes de este comportamiento.<\/p>\n<\/div> Para defenderse de los ataques de typo-squatting, puede utilizar un\u00a0archivo de bloqueo<\/strong>. A\u00a0buen archivo de bloqueo<\/a>\u00a0tiene los siguientes atributos:<\/p>\n<\/div> Pasadores de versi\u00f3n:<\/strong>hacen que sus construcciones sean predecibles y deterministas.<\/p>\n<\/div><\/li> Hashes:<\/strong>\u00a0son una forma de verificar la integridad del paquete.<\/p>\n<\/div><\/li> Gr\u00e1fico de dependencia completo:<\/strong> esto le permite controlar tambi\u00e9n las dependencias de sus dependencias.<\/p>\n<\/div><\/li><\/ul> La buena noticia es que existe un paquete cuyo prop\u00f3sito es crear un archivo de bloqueo para usted:\u00a0 Su archivo requirements.txt deber\u00eda tener este aspecto:<\/p>\n<\/div> Ahora que tiene este archivo que contiene todas sus dependencias con sus versiones y hashes asociados, puede ejecutar el siguiente comando la pr\u00f3xima vez que despliegue:<\/p>\n As\u00ed, estar\u00e1 seguro de que los paquetes que utiliza en producci\u00f3n no han sido alterados. Suponiendo que haya tenido cuidado al escribir su\u00a0 Esta pr\u00e1ctica recomendada es buena para defenderse de los ataques de \"typo-squatting\", pero \u00bfqu\u00e9 ocurre con la confusi\u00f3n de dependencias?<\/p>\n Si se fija en el\u00a0 La documentaci\u00f3n dice:<\/p>\n<\/div> Como puede ver, hay una ligera diferencia entre ambos y no es evidente a primera vista. La diferencia es que si especifica el\u00a0 Por \u00faltimo, para seguir las \u00faltimas vulnerabilidades que se descubran en sus dependencias, puede optar por comprobar peri\u00f3dicamente el archivo\u00a0GitHub asesor database<\/a>\u00a0o mejor, aproveche herramientas como\u00a0dependabot<\/a>\u00a0que enviar\u00e1 autom\u00e1ticamente un pull request en su repo para actualizar una dependencia en la que se haya identificado recientemente una vulnerabilidad cr\u00edtica.<\/p>\n<\/div> En este art\u00edculo, introdujimos el concepto de cadena de suministro para el mundo del software. En concreto, hemos estudiado c\u00f3mo se aplica este concepto al ecosistema Python. Se han explicado el typo-squatting y la confusi\u00f3n de dependencias y se han propuesto soluciones para mitigar el riesgo de verse comprometido.<\/p>\n Esta r\u00e1pida introducci\u00f3n a la seguridad de la cadena de suministro s\u00f3lo ha cubierto la punta del iceberg, no hemos tenido la oportunidad de hablar de c\u00f3mo\u00a0construir sistemas<\/a>\u00a0o incluso su\u00a0IDEs<\/a> puede verse comprometida, \u00a1pero eso lo dejo para otro art\u00edculo!<\/p>\n Gracias por leer hasta aqu\u00ed. Estar\u00e9 encantada de escuchar sus comentarios. Si le ha gustado la lectura, no dude en consultar nuestro\u00a0puestos vacantes<\/a>\u00a0en Artefact \ud83d\ude42 .<\/p>\n<\/div><\/div><\/div><\/div><\/article>C\u00f3mo gestionar sus dependencias en Python<\/h3><\/div>
pip install <\/span><\/pre>\npython3-dateutil<\/code>\u00a0en lugar del oficial\u00a0dateutil<\/code>\u00a0ha sido\u00a0detectado recientemente<\/a>.<\/p>\npip<\/code>\u00a0funciona bajo el cap\u00f3.<\/p>\npip install --extra-index-url <\/span><\/pre>\nC\u00f3mo defenderse de estos ataques a la cadena de suministro<\/h3><\/div>
pip-tools<\/code>. Con s\u00f3lo unos pocos comandos, puede generar un archivo de bloqueo con todos los atributos que hemos descrito anteriormente.<\/p>\n<\/div>$ python3 -m venv mi-env # crear un nuevo entorno virtual\n<\/span>$ source my-env\/bin\/activate # act\u00edvelo\n<\/span>$ pip install pip-tools==6.3.0 # instale el paquete que le permitir\u00e1\ngestionar correctamente sus dependencias\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # a\u00f1ada el paquete de\nsu elecci\u00f3n en requirements.in\n<\/span>$ pip-compile --generate-hashes # compila requirements.txt con\nhashes bas\u00e1ndose en lo que ponga en requirements.in<\/span><\/pre>\n<\/div>pip install --require-hashes -r requisitos.txt<\/span><\/pre>\nrequisitos.en<\/code>\u00a0archivo \ud83d\udc40, tambi\u00e9n puede estar seguro de que descargar\u00e1 el paquete que realmente desea, ya que todo est\u00e1 automatizado. \u00a1Sin riesgo de error tipogr\u00e1fico!<\/p>\npip<\/code>\u00a0ver\u00e1 que hay dos opciones que puede utilizar para descargar paquetes de un repositorio interno:<\/p>\n<\/div>--extra-index-url<\/code><\/div><\/li>--index-url<\/code><\/p>\n<\/div><\/li><\/ul>--index-url<\/code>\u00a0opci\u00f3n,\u00a0pip<\/code>\u00a0s\u00f3lo extraer\u00eda paquetes del repositorio con la URL que usted proporcion\u00f3, y no de repositorios p\u00fablicos. As\u00ed que, si quiere evitar el comportamiento que hemos descrito antes, utilice\u00a0--index-url<\/code>\u00a0en lugar de\u00a0--extra-index-url<\/code>\u00a0\u00a1y estar\u00e1 a salvo!<\/p>\nResumen<\/h2><\/div>
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit2.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/Article-benoit3.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit4.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit5.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit6.png\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/03\/medium.png\" "\\"medio\\"")
<\/span><\/div>