アカウント名:
パスワード:
今回はまだ「有名パッケージのコピー」という偽物だったからすぐに対処されて終わったがこれがスマホの某アプリのように、とりま無料かつ広告なしの優良アプリとして名を馳せておいてある程度知名度が出てから、ある日突然、無料版は有料版への橋渡しアプリと化したりしたらどうなんの?例えばOpenPyXLの作者なんかが、ある日突然小遣い稼ぎがしたくなってそんなことやりだしたらどうにもならなくね?「有名パッケージのコピー」という紛い物だったから、今回は難無く対処できたけど、正規の作者がマルウェア仕込むのは止められないよねしかもこれ、PyPIだけでなくCPANやGems、更にはGoやRustのようにGitHubから直接落としてくるタイプのパッケージマネージャを使っていても対処不可能
この事件は歴史を変えたお金が稼ぎたくなった作者からどんどん後に続いてくぞこれ
#性善説は脆弱
他は知らんがCPANは承認作業必要じゃなかったっけ?なんか色々登録して必要だったような?
そもそも事業環境で作るならそんな調査もしてないものをインストールすんなとしか。
> そもそも事業環境で作るならそんな調査もしてないものをインストールすんなとしか。
だよね。仕事でapt get upgradeする人はインストール前にソースを全部レビューするのが常識。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人はmoriwaka -- Anonymous Coward
サラッと書いてあるけど物凄い事件だな (スコア:-1)
今回はまだ「有名パッケージのコピー」という偽物だったからすぐに対処されて終わったが
これがスマホの某アプリのように、とりま無料かつ広告なしの優良アプリとして名を馳せておいて
ある程度知名度が出てから、ある日突然、無料版は有料版への橋渡しアプリと化したりしたらどうなんの?
例えばOpenPyXLの作者なんかが、ある日突然小遣い稼ぎがしたくなってそんなことやりだしたらどうにもならなくね?
「有名パッケージのコピー」という紛い物だったから、今回は難無く対処できたけど、正規の作者がマルウェア仕込むのは止められないよね
しかもこれ、PyPIだけでなくCPANやGems、更にはGoやRustのようにGitHubから直接落としてくるタイプのパッケージマネージャを使っていても対処不可能
この事件は歴史を変えた
お金が稼ぎたくなった作者からどんどん後に続いてくぞこれ
#性善説は脆弱
Re:サラッと書いてあるけど物凄い事件だな (スコア:0)
他は知らんがCPANは承認作業必要じゃなかったっけ?
なんか色々登録して必要だったような?
そもそも事業環境で作るならそんな調査もしてないものをインストールすんなとしか。
Re: (スコア:0)
> そもそも事業環境で作るならそんな調査もしてないものをインストールすんなとしか。
だよね。仕事でapt get upgradeする人はインストール前にソースを全部レビューするのが常識。