![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/benoit-goujon.jpeg\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/04\/Medium-Blog.png\" "\\"Medium")
<\/span><\/div>Inleiding<\/h2><\/div>In traditionele industrie\u00ebn is een toeleveringsketen alles wat een bedrijf in staat stelt om een product aan de klant te leveren. Als u bijvoorbeeld een croissant bij de bakker koopt, maken alle ingredi\u00ebnten, de verpakking en het transport deel uit van de toeleveringsketen.<\/p>\n<\/div>
In het softwaredomein is een toeleveringsketen alles wat invloed heeft op uw software voordat deze in productie wordt genomen. Het omvat alles van de ontwikkelingsfase tot het releaseproces, inclusief de code die u hebt geschreven, uw afhankelijkheden, uw buildomgeving, uw IDE, uw image register - elk onderdeel waarmee uw software op enig moment interageert!<\/p>\n<\/div>
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit1.png\" "\\"artikel-benoit1\\"")
<\/span><\/div>De term \u201ctoeleveringsketen\u201d is onlangs in het nieuws gekomen vanwege cyberaanvallen die een grote impact hadden. Van alle aanvallen is Solarwinds misschien wel de bekendste. De Amerikaanse overheid, grote techbedrijven zoals Microsoft en Intel, maar ook ziekenhuizen, energiebedrijven en financi\u00eble instellingen zijn getroffen.<\/p>\n
Ironisch genoeg is de hoofdoorzaak de infectie van Solarwinds Orion, een netwerkbeveiligingsmonitor. Het buildsysteem was gecompromitteerd en alle nieuwe releases tussen maart en juni 2020 waren ge\u00efnfecteerd met malware. Het resultaat is dat alle klanten die hun software in die periode hebben bijgewerkt, besmet zijn geraakt.<\/p>\n<\/div>
Hoewel de Solarwinds-aanval grotendeels door de media is behandeld, zijn er tientallen soortgelijke aanvallen waar we nog nooit van hebben gehoord. Gelukkig houdt de Cloud Native Computing Foundation ze allemaal bij in een\u00a0openbare opslagplaats<\/a>. U zult misschien verrast zijn door de versnelling van deze aanvallen in de afgelopen paar jaar.<\/p>\nHet is niet haalbaar om alles wat te maken heeft met de beveiliging van de toeleveringsketen in \u00e9\u00e9n blogpost te behandelen, dus we zullen ons in dit artikel vooral richten op projecten die Python als primaire taal gebruiken.<\/p>\n<\/div>
Hoe uw afhankelijkheden beheren in Python<\/h3><\/div>Hoewel Python een \u201cbatterijen inbegrepen\u201d filosofie heeft, hebt u vaak externe bibliotheken nodig die u kunt downloaden van PyPI, de offici\u00eble Package Index en op dit punt moet u heel voorzichtig zijn.<\/p>\n
Het Python-ecosysteem is al doelwit geweest, met name door het gebruik van twee technieken:<\/p>\n<\/div>
- <\/i><\/span>Typo-squatting<\/div><\/li>
- <\/i><\/span>Afhankelijkheidsverwarring<\/div><\/li><\/ul>
De eerste techniek heeft betrekking op een commando dat elke Python-ontwikkelaar minstens \u00e9\u00e9n keer in zijn\/haar carri\u00e8re heeft uitgevoerd:<\/p>\n
pip installeren <\/span><\/pre>\nHackers publiceren pakketten met bijna dezelfde naam als bestaande pakketten in de hoop dat u een typefout maakt en hun pakket installeert in plaats van het offici\u00eble pakket. Een pakket met de naam\u00a0python3-dateutil<\/code>\u00a0in plaats van de offici\u00eble\u00a0datumutil<\/code>\u00a0is\u00a0onlangs gedetecteerd<\/a>.<\/p>\nDe python-gemeenschap is\u00a0hard werken<\/a>\u00a0om het risico te beperken, maar het risico is nog steeds hoog.<\/p>\nDe tweede techniek, afhankelijkheidsverwarring, is geavanceerder dan de eerste en heeft te maken met hoe\u00a0pip<\/code>\u00a0werkt onder de motorkap.<\/p>\nDeze keer stelt deze opdracht u bloot aan het risico:<\/p>\n
pip installeren --extra-index-url <\/span><\/pre>\nWanneer u dit commando typt, gebeurt er het volgende:<\/p>\n<\/div>![\"Image\"](\"data:image\/svg+xml,%3Csvg%20xmlns%3D%27http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%27%20width%3D%27400%27%20height%3D%270%27%20viewBox%3D%270%200%20400%200%27%3E%3Crect%20width%3D%27400%27%20height%3D%270%27%20fill-opacity%3D%220%22%2F%3E%3C%2Fsvg%3E\")
Laten we een voorbeeld nemen:<\/p>\n<\/div>
In dit voorbeeld wordt het pakket van de kwaadwillende hacker op de machine ge\u00efnstalleerd. Het hogere versienummer staat namelijk op de openbare pakketindex.<\/p>\n
U hebt misschien al begrepen wat er mis kan gaan met dit proces. Iemand met slechte bedoelingen kan pakketten publiceren op een openbare repository die dezelfde namen hebben als de pakketten die gehost worden op interne pakketindexen en ze labelen met een belachelijk hoog versienummer. Bovendien is het vinden van relevante pakketnamen niet zo moeilijk als\u00a0aangetoond door deze beveiligingsonderzoeker<\/a>.<\/p>\nDit commando kan worden gekwalificeerd als \u201conveilig door ontwerp\u201d. Deze aanval maakt gebruik van een functie van de Python pakketbeheerder en slechts enkele ontwikkelaars zijn zich bewust van dit gedrag.<\/p>\n<\/div>
Hoe u zich tegen deze aanvallen op de toeleveringsketen kunt verdedigen<\/h3><\/div>Om u te verdedigen tegen typo-squatting aanvallen, kunt u een\u00a0vergrendelingsbestand<\/strong>. A\u00a0goed slotbestand<\/a>\u00a0heeft de volgende kenmerken:<\/p>\n<\/div>- <\/i><\/span>\n
Versie spelden:<\/strong>ze maken uw builds voorspelbaar en deterministisch.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Hashes:<\/strong>\u00a0Ze zijn een manier om de integriteit van het pakket te controleren.<\/p>\n<\/div><\/li>- <\/i><\/span>\n
Volledige afhankelijkheidsgrafiek:<\/strong> kunt u ook de afhankelijkheden van uw afhankelijkheden regelen.<\/p>\n<\/div><\/li><\/ul>Het goede nieuws is dat er een pakket bestaat dat als doel heeft om een vergrendelingsbestand voor u te maken:\u00a0pip-tools<\/code>. Met slechts een paar commando's kunt u een slotbestand genereren met alle attributen die we eerder beschreven hebben.<\/p>\n<\/div>$ python3 -m venv my-env # maak een nieuwe virtuele omgeving aan\n<\/span>$ bron my-env\/bin\/activate # activeren\n<\/span>$ pip install pip-tools==6.3.0 # installeer het pakket waarmee u\nu uw afhankelijkheden goed kunt beheren\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # voeg het pakket van\nuw keuze in requirements.in\n<\/span>$ pip-compile --generate-hashes # compileert requirements.txt met\nhashes gebaseerd op wat u in requirements.in hebt gezet<\/span><\/pre>\n<\/div>Uw requirements.txt bestand zou er als volgt uit moeten zien:<\/p>\n<\/div>
Nu u dit bestand hebt, dat al uw afhankelijkheden met hun bijbehorende versies en hashes bevat, kunt u de volgende keer dat u gaat implementeren de volgende opdracht uitvoeren:<\/p>\n
pip install --require-hashes -r requirements.txt<\/span><\/pre>\nZo weet u zeker dat de pakketten die u in productie gebruikt, niet gewijzigd zijn. Ervan uitgaande dat u voorzichtig bent geweest toen u uw\u00a0vereisten.in<\/code>\u00a0bestand \ud83d\udc40, kunt u er ook op vertrouwen dat u het pakket downloadt dat u echt wilt, omdat alles geautomatiseerd is. Geen risico op een typefout!<\/p>\nDeze best practice is goed ter verdediging tegen typo-squatting aanvallen, maar hoe zit het met afhankelijkheidsverwarring?<\/p>\n
Als u kijkt naar de\u00a0pip<\/code>\u00a0documentatie, zult u zien dat er twee opties zijn die u kunt gebruiken om pakketten van een interne repository te downloaden:<\/p>\n<\/div>- <\/i><\/span>
--extra-index-url<\/code><\/div><\/li>- <\/i><\/span>\n
--index-url<\/code><\/p>\n<\/div><\/li><\/ul>In de documentatie staat:<\/p>\n<\/div>
Zoals u kunt zien, is er een klein verschil tussen de twee en het is op het eerste gezicht niet duidelijk. Het verschil is dat als u de\u00a0--index-url<\/code>\u00a0optie,\u00a0pip<\/code>\u00a0zou alleen pakketten ophalen uit de repo met de URL die u hebt opgegeven, en niet uit openbare repositories. Dus, als u het gedrag dat we eerder beschreven wilt vermijden, gebruik dan\u00a0--index-url<\/code>\u00a0liever dan\u00a0--extra-index-url<\/code>\u00a0en u zult veilig zijn!<\/p>\nTen slotte kunt u, om de nieuwste kwetsbaarheden te volgen die in uw afhankelijkheden zijn ontdekt, ervoor kiezen om periodiek de\u00a0GitHub advies database<\/a>\u00a0of beter nog, gebruik hulpmiddelen zoals\u00a0dependabot<\/a>\u00a0die automatisch een pull-verzoek zal indienen op uw repo om een afhankelijkheid bij te werken waarin onlangs een kritieke kwetsbaarheid is ge\u00efdentificeerd.<\/p>\n<\/div>Samenvatting<\/h2><\/div>In dit artikel hebben we het concept van de toeleveringsketen voor de softwarewereld ge\u00efntroduceerd. We hebben specifiek onderzocht hoe dit concept van toepassing is op het Python-ecosysteem. Typo-squatting en afhankelijkheidsverwarring zijn uitgelegd en er zijn oplossingen voorgesteld om het risico op compromittering te beperken.<\/p>\n
Deze korte inleiding tot de beveiliging van de toeleveringsketen besloeg slechts het topje van de ijsberg, we hebben niet de kans gehad om te bespreken hoe\u00a0systemen bouwen<\/a>\u00a0of zelfs uw\u00a0IDE's<\/a> kan worden gecompromitteerd, maar dat laat ik voor een ander artikel!<\/p>\nBedankt voor het lezen! Ik hoor graag uw feedback. Als u het leuk vond om te lezen, kijk dan gerust naar onze\u00a0openstaande posities<\/a>\u00a0bij Artefact \ud83d\ude42<\/p>\n<\/div><\/div><\/div><\/div><\/article>
In traditionele industrie\u00ebn is een toeleveringsketen alles wat een bedrijf in staat stelt om een product aan de klant te leveren. Als u bijvoorbeeld een croissant bij de bakker koopt, maken alle ingredi\u00ebnten, de verpakking en het transport deel uit van de toeleveringsketen.<\/p>\n<\/div>
In het softwaredomein is een toeleveringsketen alles wat invloed heeft op uw software voordat deze in productie wordt genomen. Het omvat alles van de ontwikkelingsfase tot het releaseproces, inclusief de code die u hebt geschreven, uw afhankelijkheden, uw buildomgeving, uw IDE, uw image register - elk onderdeel waarmee uw software op enig moment interageert!<\/p>\n<\/div>
<\/span><\/div>De term \u201ctoeleveringsketen\u201d is onlangs in het nieuws gekomen vanwege cyberaanvallen die een grote impact hadden. Van alle aanvallen is Solarwinds misschien wel de bekendste. De Amerikaanse overheid, grote techbedrijven zoals Microsoft en Intel, maar ook ziekenhuizen, energiebedrijven en financi\u00eble instellingen zijn getroffen.<\/p>\n
Ironisch genoeg is de hoofdoorzaak de infectie van Solarwinds Orion, een netwerkbeveiligingsmonitor. Het buildsysteem was gecompromitteerd en alle nieuwe releases tussen maart en juni 2020 waren ge\u00efnfecteerd met malware. Het resultaat is dat alle klanten die hun software in die periode hebben bijgewerkt, besmet zijn geraakt.<\/p>\n<\/div>
Hoewel de Solarwinds-aanval grotendeels door de media is behandeld, zijn er tientallen soortgelijke aanvallen waar we nog nooit van hebben gehoord. Gelukkig houdt de Cloud Native Computing Foundation ze allemaal bij in een\u00a0openbare opslagplaats<\/a>. U zult misschien verrast zijn door de versnelling van deze aanvallen in de afgelopen paar jaar.<\/p>\n Het is niet haalbaar om alles wat te maken heeft met de beveiliging van de toeleveringsketen in \u00e9\u00e9n blogpost te behandelen, dus we zullen ons in dit artikel vooral richten op projecten die Python als primaire taal gebruiken.<\/p>\n<\/div> Hoewel Python een \u201cbatterijen inbegrepen\u201d filosofie heeft, hebt u vaak externe bibliotheken nodig die u kunt downloaden van PyPI, de offici\u00eble Package Index en op dit punt moet u heel voorzichtig zijn.<\/p>\n Het Python-ecosysteem is al doelwit geweest, met name door het gebruik van twee technieken:<\/p>\n<\/div> De eerste techniek heeft betrekking op een commando dat elke Python-ontwikkelaar minstens \u00e9\u00e9n keer in zijn\/haar carri\u00e8re heeft uitgevoerd:<\/p>\n Hackers publiceren pakketten met bijna dezelfde naam als bestaande pakketten in de hoop dat u een typefout maakt en hun pakket installeert in plaats van het offici\u00eble pakket. Een pakket met de naam\u00a0 De python-gemeenschap is\u00a0hard werken<\/a>\u00a0om het risico te beperken, maar het risico is nog steeds hoog.<\/p>\n De tweede techniek, afhankelijkheidsverwarring, is geavanceerder dan de eerste en heeft te maken met hoe\u00a0 Deze keer stelt deze opdracht u bloot aan het risico:<\/p>\n Wanneer u dit commando typt, gebeurt er het volgende:<\/p>\n<\/div> Laten we een voorbeeld nemen:<\/p>\n<\/div> In dit voorbeeld wordt het pakket van de kwaadwillende hacker op de machine ge\u00efnstalleerd. Het hogere versienummer staat namelijk op de openbare pakketindex.<\/p>\n U hebt misschien al begrepen wat er mis kan gaan met dit proces. Iemand met slechte bedoelingen kan pakketten publiceren op een openbare repository die dezelfde namen hebben als de pakketten die gehost worden op interne pakketindexen en ze labelen met een belachelijk hoog versienummer. Bovendien is het vinden van relevante pakketnamen niet zo moeilijk als\u00a0aangetoond door deze beveiligingsonderzoeker<\/a>.<\/p>\n Dit commando kan worden gekwalificeerd als \u201conveilig door ontwerp\u201d. Deze aanval maakt gebruik van een functie van de Python pakketbeheerder en slechts enkele ontwikkelaars zijn zich bewust van dit gedrag.<\/p>\n<\/div> Om u te verdedigen tegen typo-squatting aanvallen, kunt u een\u00a0vergrendelingsbestand<\/strong>. A\u00a0goed slotbestand<\/a>\u00a0heeft de volgende kenmerken:<\/p>\n<\/div> Versie spelden:<\/strong>ze maken uw builds voorspelbaar en deterministisch.<\/p>\n<\/div><\/li> Hashes:<\/strong>\u00a0Ze zijn een manier om de integriteit van het pakket te controleren.<\/p>\n<\/div><\/li> Volledige afhankelijkheidsgrafiek:<\/strong> kunt u ook de afhankelijkheden van uw afhankelijkheden regelen.<\/p>\n<\/div><\/li><\/ul> Het goede nieuws is dat er een pakket bestaat dat als doel heeft om een vergrendelingsbestand voor u te maken:\u00a0 Uw requirements.txt bestand zou er als volgt uit moeten zien:<\/p>\n<\/div> Nu u dit bestand hebt, dat al uw afhankelijkheden met hun bijbehorende versies en hashes bevat, kunt u de volgende keer dat u gaat implementeren de volgende opdracht uitvoeren:<\/p>\n Zo weet u zeker dat de pakketten die u in productie gebruikt, niet gewijzigd zijn. Ervan uitgaande dat u voorzichtig bent geweest toen u uw\u00a0 Deze best practice is goed ter verdediging tegen typo-squatting aanvallen, maar hoe zit het met afhankelijkheidsverwarring?<\/p>\n Als u kijkt naar de\u00a0 In de documentatie staat:<\/p>\n<\/div> Zoals u kunt zien, is er een klein verschil tussen de twee en het is op het eerste gezicht niet duidelijk. Het verschil is dat als u de\u00a0 Ten slotte kunt u, om de nieuwste kwetsbaarheden te volgen die in uw afhankelijkheden zijn ontdekt, ervoor kiezen om periodiek de\u00a0GitHub advies database<\/a>\u00a0of beter nog, gebruik hulpmiddelen zoals\u00a0dependabot<\/a>\u00a0die automatisch een pull-verzoek zal indienen op uw repo om een afhankelijkheid bij te werken waarin onlangs een kritieke kwetsbaarheid is ge\u00efdentificeerd.<\/p>\n<\/div> In dit artikel hebben we het concept van de toeleveringsketen voor de softwarewereld ge\u00efntroduceerd. We hebben specifiek onderzocht hoe dit concept van toepassing is op het Python-ecosysteem. Typo-squatting en afhankelijkheidsverwarring zijn uitgelegd en er zijn oplossingen voorgesteld om het risico op compromittering te beperken.<\/p>\n Deze korte inleiding tot de beveiliging van de toeleveringsketen besloeg slechts het topje van de ijsberg, we hebben niet de kans gehad om te bespreken hoe\u00a0systemen bouwen<\/a>\u00a0of zelfs uw\u00a0IDE's<\/a> kan worden gecompromitteerd, maar dat laat ik voor een ander artikel!<\/p>\n Bedankt voor het lezen! Ik hoor graag uw feedback. Als u het leuk vond om te lezen, kijk dan gerust naar onze\u00a0openstaande posities<\/a>\u00a0bij Artefact \ud83d\ude42<\/p>\n<\/div><\/div><\/div><\/div><\/article>Hoe uw afhankelijkheden beheren in Python<\/h3><\/div>
pip installeren <\/span><\/pre>\npython3-dateutil<\/code>\u00a0in plaats van de offici\u00eble\u00a0datumutil<\/code>\u00a0is\u00a0onlangs gedetecteerd<\/a>.<\/p>\npip<\/code>\u00a0werkt onder de motorkap.<\/p>\npip installeren --extra-index-url <\/span><\/pre>\nHoe u zich tegen deze aanvallen op de toeleveringsketen kunt verdedigen<\/h3><\/div>
pip-tools<\/code>. Met slechts een paar commando's kunt u een slotbestand genereren met alle attributen die we eerder beschreven hebben.<\/p>\n<\/div>$ python3 -m venv my-env # maak een nieuwe virtuele omgeving aan\n<\/span>$ bron my-env\/bin\/activate # activeren\n<\/span>$ pip install pip-tools==6.3.0 # installeer het pakket waarmee u\nu uw afhankelijkheden goed kunt beheren\n<\/span>$ echo \u201csacremoses==0.0.46\u201d >> requirements.in # voeg het pakket van\nuw keuze in requirements.in\n<\/span>$ pip-compile --generate-hashes # compileert requirements.txt met\nhashes gebaseerd op wat u in requirements.in hebt gezet<\/span><\/pre>\n<\/div>pip install --require-hashes -r requirements.txt<\/span><\/pre>\nvereisten.in<\/code>\u00a0bestand \ud83d\udc40, kunt u er ook op vertrouwen dat u het pakket downloadt dat u echt wilt, omdat alles geautomatiseerd is. Geen risico op een typefout!<\/p>\npip<\/code>\u00a0documentatie, zult u zien dat er twee opties zijn die u kunt gebruiken om pakketten van een interne repository te downloaden:<\/p>\n<\/div>--extra-index-url<\/code><\/div><\/li>--index-url<\/code><\/p>\n<\/div><\/li><\/ul>--index-url<\/code>\u00a0optie,\u00a0pip<\/code>\u00a0zou alleen pakketten ophalen uit de repo met de URL die u hebt opgegeven, en niet uit openbare repositories. Dus, als u het gedrag dat we eerder beschreven wilt vermijden, gebruik dan\u00a0--index-url<\/code>\u00a0liever dan\u00a0--extra-index-url<\/code>\u00a0en u zult veilig zijn!<\/p>\nSamenvatting<\/h2><\/div>
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit2.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/Article-benoit3.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit4.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit5.png\")
![\"Image\"](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/10\/article-benoit6.png\")
![](\"https:\/\/www.artefact.com\/\/wp-content\/uploads\/2021\/03\/medium.png\" "\\"middelgrote\\"")
<\/span><\/div>