TLDR Gosh ещё не может это решить, но имеет потенциал решать это в будущем, и это вероятность, зависящая от человеческого фактора, и не являющаяся технологической проблемой.
Если постараться найти
оригинальный источник информации, то получим подробности:
4 декабря 2023 г. компания Ledger подверглась эксплойту в Ledger Connect Kit, библиотеке Javascript для подключения веб-сайтов к кошелькам. Эксплойт был ограничен сторонними DApps, которые используют Ledger Connect. Кит.– Этот эксплойт не влиял и не влияет на целостность оборудования Ledger или Ledger Live.Этот эксплойт в настоящее время расследуется....
Этот эксплойт стал результатом того, что бывший сотрудник стал жертвой фишинговой атаки, которая позволила злоумышленнику загрузить вредоносный файл в NPMJS Ledger (менеджер пакетов для кода Javascript, совместно используемого приложениями).
...
Стандартная практика в Ledger заключается в том, что ни один человек не может развертывать код без проверки несколькими сторонами. У нас есть строгий контроль доступа, внутренние проверки и код с несколькими подписями, когда дело касается большинства частей нашей разработки. Так обстоит дело в 99% наших внутренних систем. Любой сотрудник, покидающий компанию, лишается доступа ко всем системам Ledger. Это был досадный единичный инцидент [1]
. Это напоминание о том, что безопасность не является статичной, и Ledger должен постоянно совершенствовать наши системы и процессы безопасности. В этой области Ledger внедрит более строгий контроль безопасности, подключив наш конвейер сборки, который обеспечивает строгую безопасность цепочки поставок программного обеспечения [2]
, к каналу распространения NPM [3]
.1. Противоречивое утверждение получается: мы попадаем в тот 1%, где мультиподпись не используется, и ещё через аккаунт, который не должен был иметь доступ.
2. Вот тут, как бы, может показаться, что мог бы пригодиться Gosh, а именно AnyTree. Из лендинга понятно только то, что это супер-магия, основанная на Deep SBOM, которая может избавить от всех проблем, а из одностраничной документации этого инструмента становится понятно, что это именно инструмент, который использует формат
CycloneDX, и чтобы использовать его, ещё потребуется построить инфраструктуру и поддерживать её, и тоже надо как-то защитить.
3. В данном случае именно финальный шаг цепочки был эксплуатирован, то есть возможность публикации артифакта сборки в NPM, и вот тут Gosh не предлагает решений и сам пользуется
Github Releases для распространения. Проще говоря, не имеет значения, сколько подписей или проверок есть на этапе сборки, если артифакт можно опубликовать с одного аккаунта.
В оригинальном источнике есть ещё более интересные и масштабные темы, которые будет интересно с чувством и вниманием рассмотреть, если наш комментарий на эту тему наберёт 100500 лайков, мы обязательно уделим этому больше внимания.
С уважением и почтением, коллектив Ilyar — человек(и) или
пароход нейронная сеть).