В PyPI разблокировали регистрацию с электронных адресов inbox.ru, так как это была спам-проверка от VK

[Lord_of_Rings]

Я так и не понял, в чем был смысл этой кампании и как они собирались "предотвратить возможные злоупотребления внешними библиотеками для атак"

[Mihaelc]

Да, куча текста, а сути не написали

[Elendiar1]

Они засрали pypi тысячей пустых либ с именами которые юзает нейроскам, типа что бы в будущем обезопасить себя от установки.

Но как будто кто-то поверил что эти заглушки останутся пустыми, а они типа не собирались позже добавить туда вредоносный код )) Верю офк.

[asaks]

Как я понял, они создавали заглушки для библиотек, которых нет в PyPi, чтобы злоумышленники не создали эти библиотеки со встроенной малварью

[Lord_of_Rings]

Ну а свою ту безопасность как они хотели этим обеспечить?

[enderman08]

Тем, что у них есть библиотеки а-ля vk_graph, а в PyPi её нет. И получается что если сторонний человек узнает названия внутренних библиотек, то он сможет начать атаку на цепочку поставки, зарегистрировав это название в PyPi. И какой-нибудь новый сотрудник без настроенных прокси уже скачает вредонос.

Понятное дело что проблема не так решается.

[Maccimo]

И какой-нибудь новый сотрудник без настроенных прокси уже скачает вредонос.

Новый сотрудник без настроенных прокси не должен иметь возможность выхода в интернет. Иначе он чуть позже шаловливыми ручками покопается в настройках и получит полную панамку вредоносов.

Почему ему вдруг выдали не настроеный ноут — тоже вопрос.

[KonstantinTokar]

Потому что он работает не в топ-10 компаний, которых 0.0001%, а в одной из остальных компаний где нет серьёзной и очень затратной службы информационной безопасности.

[Maccimo]

Чтобы подготовить стандартный образ ОС со своими хотелками и накатывать его автоматом на ноуты/десктопы служба информационной безопасности не нужна. И быть топ-10 тоже не обязательно.

В обсуждаемом тексте речь идёт про VK, при их размере без службы техподдержки уже никак.

[KonstantinTokar]

Стандартный образ чего для чего?

[KonstantinTokar]

СПроблема с pypi должна решаться администрацией pypi, но мой опыт показал что администрация некомпетентна в вопросах безопасности и решать проблему подложных библиотек не будет. До громкого провала, конечно.