forum.opennet.ru - "Атакующие внедрили вредоносный код в web3.js, официальный JavaScript-клиент для криптовалюты Solana" (91)

"Атакующие внедрили вредоносный код в web3.js, официальный JavaScript-клиент для криптовалюты Solana"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Атакующие внедрили вредоносный код в web3.js, официальный JavaScript-клиент для криптовалюты Solana"	+/–
Сообщение от opennews (ok), 04-Дек-24, 10:22
Выявлен факт подстановки вредоносного кода в библиотеку @solana/web3.js, насчитывающую в репозитории NPM 400-500 тысяч загрузок в неделю. Вредоносные изменения были включены в состав выпусков web3.js 1.95.6 и 1.95.7, и сводились к интеграции кода для отправки на внешний сервер закрытых ключей. Целостность проекта восстановлена в выпуске 1.95.8. Разбор причин инцидента пока не завершён, но по предварительным данным вредоносные релизы были размещены через компрометацию учётной записи сопровождающего, используя методы социального инжиниринга и фишинга... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=62339
Ответить \| Правка \| Cообщить модератору

Оглавление

Никогда такого не было - и вот опять А ТЫ уже обновил все свои лефтпады из нпм н, Жироватт (ok), 10:22 , 04-Дек-24, (1) +12

Только как получить эту вашу Солану Как ввести, как вывести С виндовза можно , Криптокибер (?), 10:36 , 04-Дек-24, (3) –3

Какая винда Кастомный дистриб собирай на базе LFS, спокойней будешь Миллионы п, Аноним (6), 10:41 , 04-Дек-24, (6)

Главное - не забывать обновляться Сколько там уязвимость действовала Как ра, 1 (??), 10:48 , 04-Дек-24, (9) +2
Ты забываешь что помимо тысячи глаз в опенсорсе есть тысячи рук, которые так и н, Аноним (23), 11:25 , 04-Дек-24, (23) +6

Ты забываешь, что абслолютную гарантию не даёт никакое творение рук человеческих, Аноним (34), 12:09 , 04-Дек-24, (34) +2

Есть такая штука, сейчас будет сложно, называется вероятность Так вот в закрыты, есть такая штука называется вероятность. (?), 14:04 , 04-Дек-24, (50)

Зато правый Петя навтыкает туда троянов, по самое нихачу , 1 (??), 14:17 , 04-Дек-24, (53) +6

Петя действовал по команде и внедрил туда правильный согласованный троян А Вася, Аноним (23), 14:51 , 04-Дек-24, (57) +1

Ха-хахаПравильная дырка внедренная производителем как правило глупа и заинтересо, Fear of the dark (?), 03:32 , 05-Дек-24, (136)

Не только согласованных в виде телеметрии и прочего шпионажа , но и случайных, , Bottle (?), 04:59 , 05-Дек-24, (137)

Для этого ему придется войти в сговор с командой, тк это не попенсорс где васян , Аноним (-), 15:00 , 04-Дек-24, (61)

Никак Это не настоящие деньги, а всего лишь циферки на компьютере Единственный, ИмяХ (ok), 08:31 , 05-Дек-24, (138)

Но ведь настоящие деньги это тоже либо бумажки и кусочки металла, не имеющие ц, Зануда (?), 23:00 , 08-Дек-24, (143) +1

Металл, бтв, ценность все же имеет Возможно не такую как номинал, но все же , нейм (?), 11:11 , 31-Дек-24, (144)

Ты не понял, качай мне все зависимости это современно плюс js безопасно работа, Аноним (7), 10:42 , 04-Дек-24, (7) +8
Причем здесь зависимости зависимостей Это официальный клиент Примерно как если, Ананимус (?), 11:19 , 04-Дек-24, (17) +6

Официальный клиент может быть и зависимостью и зависимостью зависимости , Аноним (23), 11:27 , 04-Дек-24, (25)

Автор вспомнил про leftpad, который буквально был модулем на одну функцию, что с, Ананимус (?), 15:29 , 04-Дек-24, (65) +1

Да в критических задачах и в критических инфраструктурах все пишется заново Пре, Аноним (23), 16:50 , 04-Дек-24, (69) –1

Начинается В Сбербанке достаточно критичная финансовая организация никто н, Ананимус (?), 18:48 , 04-Дек-24, (96) +1

В Сбербанке ты не можешь просто так использовать зависимость Только если её уже, Аноним (125), 21:48 , 04-Дек-24, (125) +1

И Это не значит что её сами руками написали, это значит что её проаутировали в , Ананимус (?), 22:19 , 04-Дек-24, (128) +3

И какие гарантии что сотрудники там - все белые и пушистые, никогда не лажаются,, Аноним (-), 20:16 , 04-Дек-24, (117)

И люди проглядевшие бекдор в ХЗ либе или Bvp47 запрещают жабаскриптерам ковырять, Аноним (-), 13:27 , 04-Дек-24, (43) +1
А ты до сих пор сидиш на зависимостях, к которым уже эксплоиты успеил написать , Аноним (55), 14:39 , 04-Дек-24, (55)

Бинго , Аноним (2), 10:23 , 04-Дек-24, (2) +9

за определенную сумму например 10 000 я тоже могу сказать что мою учетку ском, Аноним (20), 11:22 , 04-Дек-24, (20) +4

Фу позорник за такой мизер так рисковать репутацией и может даже свободой , Ivan_83 (ok), 20:55 , 04-Дек-24, (122) +4

Когда XZ скомпрометировали, тоже JavaScript был виноват Или это другое, понимат, Аноним (45), 13:38 , 04-Дек-24, (45) +2

Конечно другое Как можно сравнивать дырень которую внедрили почти во все дистриб, Аноним (-), 13:42 , 04-Дек-24, (47)

XZ тоже был тарболчиком с самого репизитория , Аноним (67), 16:21 , 04-Дек-24, (67)

По статистике да , есть такая штука называется вероятность. (?), 14:06 , 04-Дек-24, (51)

Я конечно не эксперт с необходимой экспертизой, но почему сторонний клиент , Аноним (4), 10:39 , 04-Дек-24, (4)

Как ты предлагаешь это делать накривую , Аноним (23), 11:28 , 04-Дек-24, (27)

Через разделение процессов, клиент - сервер , Аноним (34), 12:12 , 04-Дек-24, (35) –1

Это ещё на каждого бота свой промежуточный сервер Это сложно и противоречит при, Аноним (23), 12:21 , 04-Дек-24, (38)

Локальное разделение, на компе у пользователя кошелька или чего там ещё Код на , Аноним (34), 13:08 , 04-Дек-24, (42) +1

Оверинжиниринг и сложно , Аноним (23), 14:52 , 04-Дек-24, (59) +2

Ещё и бесполезно От этой уязвимости может и спасёт, но монетки всё равно не буд, Анониссимус (?), 15:05 , 04-Дек-24, (62) +2

ну просто автору троянца придется через нескучный api вот это подписать вот , нах. (?), 02:14 , 05-Дек-24, (135) +1

Ты сейчас описал концепцию холодных ключей, который есть рекомендованный способ , Аноним (60), 14:59 , 04-Дек-24, (60) –1

Холодных кошельков, а не ключей , Аноним (60), 01:15 , 05-Дек-24, (134)

Обычно это осуществляется через провайдера безопасности В виде запроса - клиент, Аноним (106), 19:40 , 04-Дек-24, (106)

Если вам действительно нужен ключ, то вам нужен и публичный и приватный Вы же н, Аноним (55), 14:46 , 04-Дек-24, (56) –1

Нужен транзакционный сессонный ключ - приватный и публичный Запросили транзак, Аноним (4), 17:26 , 04-Дек-24, (74)
Чтобы расшифровать сообщение от другого нужен Его публичный ключ, который выдает, Аноним (106), 20:50 , 04-Дек-24, (121)

уху, ryoken (ok), 10:39 , 04-Дек-24, (5) +1

Так отсылка к Буратыно же, классика , RM (ok), 11:13 , 04-Дек-24, (15)

Если вы загружаеты свой приватный ключ на вебприложуху, то тут проблема не в жаб, Аноним (7), 10:56 , 04-Дек-24, (11) +4
Кому-то не пофиг на криптовалюты Которые могут обвалиться в любое мгновение , Соль земли (?), 11:09 , 04-Дек-24, (13)

Так как бежать больше некуда, бегут в крипту Обвал крипты означает пи дец ден, Аноним (4), 11:13 , 04-Дек-24, (14)
Скрыто модератором, Наибулина (?), 11:30 , 04-Дек-24, (29) +9

Скрыто модератором, Аноним (33), 12:08 , 04-Дек-24, (33)
Скрыто модератором, Аноним (34), 13:27 , 04-Дек-24, (44) +3

Храни сбережения в рублях А доллар не в коем случае , Аноним (41), 12:53 , 04-Дек-24, (41)
Ну-ну, сколько уже говорят что биткоин всё А он всё растёт и растёт и не тольк, nume (ok), 16:34 , 04-Дек-24, (68) –1

С битком главное дождаться, когда он ну вот теперь он точно фсе, ха ха, а мы пр, Аноним (72), 17:04 , 04-Дек-24, (72) –1

Дурики какие-то зачем им какая-то крипта Вот лучше бы сломали kernel org и со, Аноним (-), 11:24 , 04-Дек-24, (21) +1

Зачем мучиться с kernel org, когда написал простенький скрипт для перечисления н, Аноним (30), 11:40 , 04-Дек-24, (30) +1
Раз десять перепроверил, пытаясь понять где я мог ошибиться в вычитании , Аноним (52), 14:10 , 04-Дек-24, (52)

Четверичная система вычислений - это круто Спалился рептилоид , Аноним (33), 14:32 , 04-Дек-24, (54) +3

Откуда 8 в четверичной системе 0 7 , Аноним (106), 19:58 , 04-Дек-24, (109)

Это время засекалось во время полета вокруг Земли Такое время может иметь любые, Ты не понял (?), 17:15 , 04-Дек-24, (73)

Т е никакой проверки заливаемого релизного кода в проекте нет , Бывалый Смузихлёб (ok), 11:27 , 04-Дек-24, (26) +1

Мы всегда проверяем me смех, Аноним (23), 12:22 , 04-Дек-24, (39) +1
Так проверял тот же, кто и релизил Предлагаешь ему свой же бекдор отрежектить , Аноним (45), 13:43 , 04-Дек-24, (48) +1

Так отрежектил же Но есть ньюанс , Аноним (4), 14:52 , 04-Дек-24, (58) +1

А что за ключи отправляют Я думал берут ssh , а по скриншотам там как будто, Аноним (66), 15:43 , 04-Дек-24, (66) –1
А будет ещё хуже С нуля писать это не вариант, в большинстве случаев заказчик п, Хрю (?), 17:34 , 04-Дек-24, (76) +1
1 Создаю шорт на солану 2 Добавляю в репизиторий соланы хорошо заметную уязвим, Аноним (79), 18:00 , 04-Дек-24, (79)

Зашел на первый попавшийся сайт с курсом соланы 1 декабря упала с 235 до 225 , Аноним (4), 18:23 , 04-Дек-24, (84)
Вообще незначительно упала,в пределах волатильности Это не та новость которая вы, Аноним (89), 18:26 , 04-Дек-24, (89) +1

Речь не про последнюю уязвимость , Аноним (94), 18:36 , 04-Дек-24, (94) –1

Вот если бы ты смог широко распространить по миру новость из достоверных источн, Аноним (142), 16:56 , 05-Дек-24, (142)

Казалось бы, что в этой схеме с такими программистами может пойти не так, если т, Аноним (-), 18:25 , 04-Дек-24, (86)
Это цена отсутствия чучхе Кто не хочет компрометации - тот пишет всю экосистему, Аноним (100), 19:04 , 04-Дек-24, (100)

Правда никто этого никогда не делает, потому что деньги считать умеют Но когда , Ананимус (?), 19:10 , 04-Дек-24, (103) –1

Вы заблуждаетесь Крупные проекты не стартапы пишут всё с нуля Фейсбук, ВК, Я, Аноним (89), 19:27 , 04-Дек-24, (104) +2

Посмешил Все перечислинные начинали что-то делать с нуля только уже став монопо, Аноним (94), 19:40 , 04-Дек-24, (107) –4
Ага, ваще все Ни одного стороннего компонента не осталось, даже линукс свой нап, Ананимус (?), 20:00 , 04-Дек-24, (111) –1

Линукс у них свой, если все ключевые сотрудники под козырёк берут, когда надо Ч, Аноним (132), 23:20 , 04-Дек-24, (132)

Напомни, как давно яндекс купил openssl , Ананимус (?), 10:18 , 05-Дек-24, (139)

И кто из них написал с ноля ну хотя-бы операционку для своих серверов , Аноним (-), 20:04 , 04-Дек-24, (112) –2

дело пишешь, у японцев своё чучхе было даже еще раньше северокорейцев - там в ос, anonymous (??), 20:50 , 04-Дек-24, (120)

В смысле, оно там кончилось раньше чем началась северная корея тоетин датчик зас, нах. (?), 23:12 , 04-Дек-24, (131) –2

Вот так мифы о независимости и неподконтрольности криптовалют разбиваются о , RANDOMIZE USR 15616 (?), 19:42 , 04-Дек-24, (108)
Меня одного это смущает что-ли 5ая по размеру _виртуальная экономика_ за 5 часо, Аноним (-), 20:39 , 04-Дек-24, (118)

Скрыто модератором, Аноним (-), 20:40 , 04-Дек-24, (119)

Повеселило Это веселит даже если видел лишь node_modules от TODO app например н, Аноним (126), 22:08 , 04-Дек-24, (126) +1
Митник бессмертен , OpenEcho (?), 11:51 , 05-Дек-24, (140)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Жироватт (ok), 04-Дек-24, 10:22 +12 +/–

Никогда такого не было - и вот опять.
А ТЫ уже обновил все свои лефтпады из нпм на свежую протрояненную версию с отравленными зависимостями зависимостей зависимостей?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #7, #17, #43, #55

2. Сообщение от Аноним (2), 04-Дек-24, 10:23 +9 +/–

> JavaScript
> web3
> криптовалюты
> вредоносный код
Бинго?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #45

3. Сообщение от Криптокибер (?), 04-Дек-24, 10:36 –3 +/–

Только как получить эту вашу Солану. Как ввести, как вывести? С виндовза можно? Там будут трояны?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6, #138

4. Сообщение от Аноним (4), 04-Дек-24, 10:39 +/–

Я конечно не эксперт с необходимой экспертизой, но ...
почему (сторонний) клиент напрямую работает с приватными (секретными) ключами?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27, #56

5. Сообщение от ryoken (ok), 04-Дек-24, 10:39 +1 +/–

>>работающих с зарытыми ключами
уху

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15

6. Сообщение от Аноним (6), 04-Дек-24, 10:41 +/–

Какая винда? Кастомный дистриб собирай на базе LFS, спокойней будешь. Миллионы первому встречному доверять - глупо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #9, #23

7. Сообщение от Аноним (7), 04-Дек-24, 10:42 +8 +/–

Ты не понял, "качай мне все зависимости" это современно плюс js безопасно работает с памятью!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

9. Сообщение от 1 (??), 04-Дек-24, 10:48 +2 +/–

Главное - не забывать обновляться ...
Сколько там уязвимость действовала ? Как раз чтоб ключики утекли ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

11. Сообщение от Аноним (7), 04-Дек-24, 10:56 +4 +/–

Если вы загружаеты свой приватный ключ на вебприложуху, то тут проблема не в жабаскрипте.

Ответить | Правка | Наверх | Cообщить модератору

13. Сообщение от Соль земли (?), 04-Дек-24, 11:09 +/–

Кому-то не пофиг на криптовалюты? Которые могут обвалиться в любое мгновение.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #29, #41, #68

14. Сообщение от Аноним (4), 04-Дек-24, 11:13 +/–

Так как бежать больше некуда, бегут в крипту. Обвал крипты означает пи...дец деньгизму.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

15. Сообщение от RM (ok), 04-Дек-24, 11:13 +/–

Так отсылка к Буратыно же, классика...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

17. Сообщение от Ананимус (?), 04-Дек-24, 11:19 +6 +/–

Причем здесь зависимости зависимостей? Это официальный клиент. Примерно как если бы дыра появились в libpq.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #25

20. Сообщение от Аноним (20), 04-Дек-24, 11:22 +4 +/–

за определенную сумму (например $10 000) я тоже могу сказать что мою учетку скомпроментировали....

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #122

21. Сообщение от Аноним (-), 04-Дек-24, 11:24 +1 +/–

Дурики какие-то... зачем им какая-то крипта?
Вот лучше бы сломали kernel.org и сопутствующую инфру как раньше.
> распространялись через NPM во вторник 3 декабря c 18:20 по 23:25
Всего-то? Жалкие 11 часов?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #30, #52

23. Сообщение от Аноним (23), 04-Дек-24, 11:25 +6 +/–

Ты забываешь что помимо тысячи глаз в опенсорсе есть тысячи рук, которые так и норовят вставить свой троян или вульн в каждую либу. А тот же lfs не даёт гарантии безопасТности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #34

25. Сообщение от Аноним (23), 04-Дек-24, 11:27 +/–

Официальный клиент может быть и зависимостью и зависимостью зависимости.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #65

26. Сообщение от Бывалый Смузихлёб (ok), 04-Дек-24, 11:27 +1 +/–

Т.е никакой проверки заливаемого релизного кода в проекте нет ?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #39, #48

27. Сообщение от Аноним (23), 04-Дек-24, 11:28 +/–

Как ты предлагаешь это делать накривую?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #35, #106

29. Сообщение от Наибулина (?), 04-Дек-24, 11:30 Скрыто ботом-модератором +9 +/–

Молодец. Храни всё в рубле. Он обваливается не любой, а только в нужный момент. Как я скажу.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #33, #44

30. Сообщение от Аноним (30), 04-Дек-24, 11:40 +1 +/–

Зачем мучиться с kernel.org, когда написал простенький скрипт для перечисления на свой кошелёк и в продакшон.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

33. Сообщение от Аноним (33), 04-Дек-24, 12:08 +/–

А!!! Такой хитрый ход, что бы не хранили, а тратили или вкладывали в бизнес.
А по поводу перегретости экономики ты Ж:) для вида верещишь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

34. Сообщение от Аноним (34), 04-Дек-24, 12:09 +2 +/–

Ты забываешь, что абслолютную гарантию не даёт никакое творение рук человеческих. Если и даёт гарантию, то с какой-то вероятностью <100%. Так что и без третьих рук.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #50

35. Сообщение от Аноним (34), 04-Дек-24, 12:12 –1 +/–

Через разделение процессов, клиент - сервер?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #38

38. Сообщение от Аноним (23), 04-Дек-24, 12:21 +/–

Это ещё на каждого бота свой промежуточный сервер? Это сложно и противоречит принципу децентрализованности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #42

39. Сообщение от Аноним (23), 04-Дек-24, 12:22 +1 +/–

Мы всегда проверяем.
/me смех

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

41. Сообщение от Аноним (41), 04-Дек-24, 12:53 +/–

Храни сбережения в рублях! (А доллар не в коем случае!)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

42. Сообщение от Аноним (34), 04-Дек-24, 13:08 +1 +/–

Локальное разделение, на компе у пользователя кошелька или чего там ещё. Код на JS говорит другому процессу, вот это подпиши, а не сам берёт ключ и подписывает.43

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #59, #60

43. Сообщение от Аноним (-), 04-Дек-24, 13:27 +1 +/–

И люди проглядевшие бекдор в ХЗ либе или Bvp47 запрещают жабаскриптерам ковыряться в носу?
Чем этот лефтпад отличается от 100500 библиотек и зависимостей, которые обновляются в любом дистрибутиве?
Воистину "в чужом глазу песчинку разглядывают, когда в своем уже ЖинТяны с бревнами"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

44. Сообщение от Аноним (34), 04-Дек-24, 13:27 +3 +/–

>Как я скажу.
Поправил: Как тебе скажут.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

45. Сообщение от Аноним (45), 04-Дек-24, 13:38 +2 +/–

Когда XZ скомпрометировали, тоже JavaScript был виноват? Или это другое, понимать надо?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #47, #51

47. Сообщение от Аноним (-), 04-Дек-24, 13:42 +/–

> Когда XZ скомпрометировали, тоже JavaScript был виноват? Или это другое, понимать надо?
Конечно другое!
Как можно сравнивать дырень которую внедрили почти во все дистрибутивы с какой-то крипрой.
Крипта это опаснее и важнее!
Зато качали на с какого-то NPM, а тарболчики с самого репизитория!
Надежнее же не бывает!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #67

48. Сообщение от Аноним (45), 04-Дек-24, 13:43 +1 +/–

Так проверял тот же, кто и релизил. Предлагаешь ему свой же бекдор отрежектить?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #58

50. Сообщение от есть такая штука называется вероятность. (?), 04-Дек-24, 14:04 +/–

Есть такая штука, сейчас будет сложно, называется вероятность. Так вот в закрытый коммерческий проект где все либы свои левый васян ничего внедрить не может как бы он не хотел.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #53

51. Сообщение от есть такая штука называется вероятность. (?), 04-Дек-24, 14:06 +/–

По статистике да.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

52. Сообщение от Аноним (52), 04-Дек-24, 14:10 +/–

> c 18:20 по 23:25
> 11 часов
Раз десять перепроверил, пытаясь понять где я мог ошибиться в вычитании.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #54, #73

53. Сообщение от 1 (??), 04-Дек-24, 14:17 +6 +/–

Зато правый Петя навтыкает туда троянов, по самое нихачу.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #57, #61

54. Сообщение от Аноним (33), 04-Дек-24, 14:32 +3 +/–

Четверичная система вычислений - это круто!
Спалился рептилоид!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #109

55. Сообщение от Аноним (55), 04-Дек-24, 14:39 +/–

>А ТЫ уже обновил все свои лефтпады из нпм на свежую протрояненную версию с отравленными зависимостями зависимостей зависимостей?
А ты до сих пор сидиш на зависимостях, к которым уже эксплоиты успеил написать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

56. Сообщение от Аноним (55), 04-Дек-24, 14:46 –1 +/–

Если вам действительно нужен ключ, то вам нужен и публичный и приватный. Вы же не только шифровать, но и расшифровывать собираетесь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #74, #121

57. Сообщение от Аноним (23), 04-Дек-24, 14:51 +1 +/–

Петя действовал по команде и внедрил туда правильный согласованный троян. А Вася получил от менеджера линейкой по рукам и имел неприятный разговор с господином мейджером за бутылочкой виски только попытавшись подумать внедрить свою поделку.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #136

58. Сообщение от Аноним (4), 04-Дек-24, 14:52 +1 +/–

Так отрежектил же. Но есть ньюанс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

59. Сообщение от Аноним (23), 04-Дек-24, 14:52 +2 +/–

Оверинжиниринг и сложно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #62

60. Сообщение от Аноним (60), 04-Дек-24, 14:59 –1 +/–

Ты сейчас описал концепцию холодных ключей, который есть рекомендованный способ для хранения значимых сумм в крипте.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #134

61. Сообщение от Аноним (-), 04-Дек-24, 15:00 +/–

Для этого ему придется войти в сговор с командой, тк это не попенсорс где васян может делать PR раз в сто лет.
Но! Даже если будет заговор на уровне команды, то паспортные данные и адреса всех этих деятелей известны.
В случае чего фирма с радостью передаст их полиции, которые их могут даже в тюрячку посадить.
Ну или коллеги просто сходят в гости и набьют физиономии)
А вот в опенсорсах считается нормой, когда критическая инфраструктура пишется непонятными анонами без роду и племени.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

62. Сообщение от Анониссимус (?), 04-Дек-24, 15:05 +2 +/–

Ещё и бесполезно. От этой уязвимости может и спасёт, но монетки всё равно не будут в безопасности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #135

65. Сообщение от Ананимус (?), 04-Дек-24, 15:29 +1 +/–

> Официальный клиент может быть и зависимостью и зависимостью зависимости.
Автор вспомнил про leftpad, который буквально был модулем на одну функцию, что сломало куче людей пакеты. Здесь же речь идет не о supply chain attack на какой-то мелкий модуль в цепочке зависимостей, а про компроментацию окружения разработчика проекта и вставку бекдора. Что может случиться буквально с кем угодно, как показала история с xz. Поэтому все и рофлят с пердежа про leftpad, потому что в данном случае он ваще не в тему.
А то что клиент криптобиржи может быть чейто зависимостью это очень странный заход. Предлагается в каждом проекте писать весь API заново? Это шиза.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #69

66. Сообщение от Аноним (66), 04-Дек-24, 15:43 –1 +/–

А что за ключи отправляют? Я думал берут ~/.ssh/*, а по скриншотам там как будто... ключи от самой соланы берут? С кошельков чтоб воровать?

Ответить | Правка | Наверх | Cообщить модератору

67. Сообщение от Аноним (67), 04-Дек-24, 16:21 +/–

XZ тоже был тарболчиком с самого репизитория.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

68. Сообщение от nume (ok), 04-Дек-24, 16:34 –1 +/–

Ну-ну, сколько уже говорят что биткоин всё? А он всё растёт и растёт (и не только он).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #72

69. Сообщение от Аноним (23), 04-Дек-24, 16:50 –1 +/–

Да в критических задачах и в критических инфраструктурах все пишется заново. Представь себе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #96, #117

72. Сообщение от Аноним (72), 04-Дек-24, 17:04 –1 +/–

С битком главное дождаться, когда он "ну вот теперь он точно фсе, ха ха, а мы предупреждали", и в этот момент покупать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

73. Сообщение от Ты не понял (?), 04-Дек-24, 17:15 +/–

Это время засекалось во время полета вокруг Земли. Такое время может иметь любые значения, но результат один - 11 часов и точка!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

74. Сообщение от Аноним (4), 04-Дек-24, 17:26 +/–

Нужен транзакционный (сессонный) ключ - приватный и публичный. Запросили транзакционный приватный ключ, сгенерировали публичный. Подписали транзакцию, уничтожили приватный ключ. Если и украли приватный ключ транзакции, потеряли только транзакцию.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

76. Сообщение от Хрю (?), 04-Дек-24, 17:34 +1 +/–

А будет ещё хуже. С нуля писать это не вариант, в большинстве случаев заказчик просто пошлет нафиг, а аудит 100500 зависимостей, которые являются чьими то зависимостями тоже задача невыполнимая.

Ответить | Правка | Наверх | Cообщить модератору

79. Сообщение от Аноним (79), 04-Дек-24, 18:00 +/–

1. Создаю шорт на солану.
2. Добавляю в репизиторий соланы хорошо заметную уязвимость. Заметность нужна, чтобы быстро обнаружили и не пришлось платит проценты за перенос шорта на следующие дни.
3. Жду когда находят уязвимость. Либо "нахожу" её сам и быстрее бегу писать новость на опеннете.
4. С распространением новости, котировка соланы стремительно падает вниз.
5. Закрываю шорт.
6. Еду в Вегас транжирить полученный куш.
7. Нажираюсь в хлам.
8. Женюсь на какой-то блондинке.
9. Просыпаюсь утром с больной головой.
10. Обнаруживаю блондинку, пишущую заявление о разводе.
11. Хорошо, что весь куш я уже промотал!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #84, #89, #142

84. Сообщение от Аноним (4), 04-Дек-24, 18:23 +/–

> Создаю шорт на солану.
Зашел на первый попавшийся сайт с курсом соланы. 1 декабря упала с ~235 до ~225 и вернулась обратно 3 декабря, когда официально обнаружили. Как-то в другую сторону всё работает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

86. Сообщение от Аноним (-), 04-Дек-24, 18:25 +/–

> JavaScript SDK для работы с криптовалютой Solana из приложений,
> запускаемых в браузере или использующих такие платформы, как Node.js и React Native.
Казалось бы, что в этой схеме с такими программистами может пойти не так, если там еще и бабки крутиться будут...

Ответить | Правка | Наверх | Cообщить модератору

89. Сообщение от Аноним (89), 04-Дек-24, 18:26 +1 +/–

Вообще незначительно упала,в пределах волатильности
Это не та новость которая вызывает массовый сброс монет
Это новость для гиков с оупеннет и прочих похорониксов

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79 Ответы: #94

94. Сообщение от Аноним (94), 04-Дек-24, 18:36 –1 +/–

Речь не про последнюю уязвимость.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

96. Сообщение от Ананимус (?), 04-Дек-24, 18:48 +1 +/–

> Да в критических задачах и в критических инфраструктурах все пишется заново. Представь
> себе.
Начинается... В Сбербанке (достаточно критичная финансовая организация?) никто не пишет свой libpq чтобы к постгресу подключиться. Все просто берут libpq из репозиториев. Потому что наркоманов, пишущих все самостоятельно, можно встретить только на опеннете, потому что они делают это в своих влажных фаннтазиях. Все остальные используют какую-нибудь монгу из репов Убунты и просят ещё.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #125

100. Сообщение от Аноним (100), 04-Дек-24, 19:04 +/–

Это цена отсутствия чучхе. Кто не хочет компрометации - тот пишет всю экосистему сам, с нуля. Начиная от выпечки чипов. И литографического оборудования. И вообще с собственных вооружённых сил для защиты от тех, кто считает, что бекдоры должны быть во всём, а к тем, кто не согласен, отправляет убедительных людей с металлическим убеждателем. Да, это дорого. Безопасность в принципе не может быть дешёвой: обезапашивают то, что стоит дорого, и если преодоление безопасности хоть вполовину будет дешевле стоимости защищаемого по невозвратным издержкам, то это уже 100% рентабельность на языке экономики. Ежели же все издержки возвратные, то стоимость того, что берут бесплатно, вообще роли не играет, выгодно преодолевать безопасность при любом раскладе.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #103, #120

103. Сообщение от Ананимус (?), 04-Дек-24, 19:10 –1 +/–

> Это цена отсутствия чучхе. Кто не хочет компрометации - тот пишет всю экосистему сам, с нуля.
Правда никто этого никогда не делает, потому что деньги считать умеют. Но когда это останавливало влажных опеннетчиков?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100 Ответы: #104

104. Сообщение от Аноним (89), 04-Дек-24, 19:27 +2 +/–

> Правда никто этого никогда не делает
Вы заблуждаетесь. Крупные проекты (не стартапы) пишут всё с нуля. Фейсбук, ВК, Яндекс, Амазон... тысячи их!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103 Ответы: #107, #111, #112

106. Сообщение от Аноним (106), 04-Дек-24, 19:40 +/–

Обычно это осуществляется через провайдера безопасности. В виде запроса - клиент ввел пару логин-пароль - это верно? Здесь - зашифруй данные ключом клиента. Секрет хранится инфраструктурой безопасности и только она имеет прямой доступ к секрету.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

107. Сообщение от Аноним (94), 04-Дек-24, 19:40 –4 +/–

Посмешил. Все перечислинные начинали что-то делать с нуля только уже став монополистами и лопаясь от капитализации. И то, только потому, что когда в компании тьма продакт менеджеров, им полюбому нужно что-то придумать, чтобы показать руководству. А то их уволят.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104

108. Сообщение от RANDOMIZE USR 15616 (?), 04-Дек-24, 19:42 +/–

Вот так мифы о "независимости" и "неподконтрольности" криптовалют разбиваются о вопрос: "А кто, собственно, правит их исходники?"

Ответить | Правка | Наверх | Cообщить модератору

109. Сообщение от Аноним (106), 04-Дек-24, 19:58 +/–

Откуда 8 в четверичной системе? (0 .. 7 )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

111. Сообщение от Ананимус (?), 04-Дек-24, 20:00 –1 +/–

Ага, ваще все. Ни одного стороннего компонента не осталось, даже линукс свой написали, черти. Ох лол.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104 Ответы: #132

112. Сообщение от Аноним (-), 04-Дек-24, 20:04 –2 +/–

> Вы заблуждаетесь. Крупные проекты (не стартапы) пишут всё с нуля. Фейсбук,
> ВК, Яндекс, Амазон... тысячи их!
И кто из них написал с ноля ну хотя-бы операционку для своих серверов?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #104

117. Сообщение от Аноним (-), 04-Дек-24, 20:16 +/–

> Да в критических задачах и в критических инфраструктурах все пишется заново. Представь себе.
И какие гарантии что сотрудники там - все белые и пушистые, никогда не лажаются, и вообще? А, никаких?! И чем тогда это лучше предыдущей схемы?...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

118. Сообщение от Аноним (-), 04-Дек-24, 20:39 +/–

> Solana занимает пятое место по размеру капитализации
> которые распространялись через NPM во вторник 3 декабря c 18:20 по 23:25
> версий web3.js 1.95.6 и 1.95.7
Меня одного это смущает что-ли? 5ая по размеру _виртуальная экономика_ за 5 часов пару раз апнулась..

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #119

119. Сообщение от Аноним (-), 04-Дек-24, 20:40 Скрыто ботом-модератором +/–

ааа.. там 1.95.х.. тогда понятно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #118

120. Сообщение от anonymous (??), 04-Дек-24, 20:50 +/–

дело пишешь, у японцев своё чучхе было даже еще раньше северокорейцев - там в основе идея что качественным может быть только то что сам полностью контролируешь. Ну и еще что нельзя врать самому себе, разбираться в чём недостаток и его устранять. А у нас под одобрямсы все шильдикостроение и "ахаха из стиралок выковыриваем ахахах да да из стиралок ой ржака" и в итоге 0 промышленности газ в обмен на бусы и все довольны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100 Ответы: #131

121. Сообщение от Аноним (106), 04-Дек-24, 20:50 +/–

Чтобы расшифровать сообщение от другого нужен Его публичный ключ, который выдается визави.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

122. Сообщение от Ivan_83 (ok), 04-Дек-24, 20:55 +4 +/–

Фу позорник за такой мизер так рисковать репутацией и может даже свободой.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

125. Сообщение от Аноним (125), 04-Дек-24, 21:48 +1 +/–

В Сбербанке ты не можешь просто так использовать зависимость. Только если её уже одобрили и добавили в внутренний репозиторий.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96 Ответы: #128

126. Сообщение от Аноним (126), 04-Дек-24, 22:08 +1 +/–

>> Также рекомендуется ... изучить содержимое каталога node_modules
Повеселило) Это веселит даже если видел лишь node_modules от TODO app например на ангуляре.

Ответить | Правка | Наверх | Cообщить модератору

128. Сообщение от Ананимус (?), 04-Дек-24, 22:19 +3 +/–

> В Сбербанке ты не можешь просто так использовать зависимость. Только если её
> уже одобрили и добавили в внутренний репозиторий.
И? Это не значит что её сами руками написали, это значит что её проаутировали в меру сил и возможностей. И это ваще никак не противоречит логике работы NPM -- у тебя стоит корпоративное зеркало, через который идет весь CI/CD. Если на зеркале нет проаутированной версии -- у тебя тупо софт не собирается. Победа. Но опеннетчики про это не знают и продолжают влажно фантазировать как в Больших и Сильных корпорациях накачанные программисты переписывают весь мир по сотне раз за год.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #125

131. Сообщение от нах. (?), 04-Дек-24, 23:12 –2 +/–

> дело пишешь, у японцев своё чучхе было даже еще раньше северокорейцев -
В смысле, оно там кончилось раньше чем началась северная корея.
> сам полностью контролируешь. Ну и еще что нельзя врать самому себе,
> разбираться в чём недостаток и его устранять. А у нас под
тоетин датчик заслонки гнусно хихикает над культурными легендами.
> из стиралок ой ржака" и в итоге 0 промышленности газ в
> обмен на бусы и все довольны.
Если бы газ и дальше был в обмен на бусы, а не вяличие - я бы тоже был совершенно доволен. А без знания что такое "кароси" я и дальше бы обошелся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #120

132. Сообщение от Аноним (132), 04-Дек-24, 23:20 +/–

Линукс у них свой, если все ключевые сотрудники под козырёк берут, когда надо. Что не своё - то можно с потрохами и обслуживающим персоналом купить, и станет своим.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111 Ответы: #139

134. Сообщение от Аноним (60), 05-Дек-24, 01:15 +/–

Холодных кошельков, а не ключей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

135. Сообщение от нах. (?), 05-Дек-24, 02:14 +1 +/–

ну просто автору троянца придется через нескучный api "вот это подписать". (вот это - "а переведи-ка все денежки, нажитые бесчестным трудом, воооон на тот неведомый кофелефек")
Наверное задумка в том что он расплачется и убежит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

136. Сообщение от Fear of the dark (?), 05-Дек-24, 03:32 +/–

Ха-хаха
Правильная дырка внедренная производителем как правило глупа и заинтересованными личностями находится быстро. Так что правильный троян от Пети пашущего на галере в итоге будет доступен всем.
А вот неявные дырки скорее всего сложнее, именно потому что они не явные даже для разрабов с галеры. И их эксплуатация доступно только элите.
Вот мастдай состоить весь из дырок от производителя. Ссогласованных с ЦРУ и НСА

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #137

137. Сообщение от Bottle (?), 05-Дек-24, 04:59 +/–

Не только согласованных (в виде телеметрии и прочего шпионажа), но и случайных, т.к. в винде всё ещё находится код двадцатилетней давности, компилятор они свой меняет, естественно, он может что-то сломать под капотом, меняя undefined behaviour.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #136

138. Сообщение от ИмяХ (ok), 05-Дек-24, 08:31 +/–

>>Как ввести, как вывести
Никак. Это не настоящие деньги, а всего лишь циферки на компьютере. Единственный способ - найти такого же лоха, который купит у тебя эти циферки за настоящие деньги.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #143

139. Сообщение от Ананимус (?), 05-Дек-24, 10:18 +/–

Напомни, как давно яндекс купил openssl?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #132

140. Сообщение от OpenEcho (?), 05-Дек-24, 11:51 +/–

> используя методы социального инжиниринга и фишинга.
Митник бессмертен !

Ответить | Правка | Наверх | Cообщить модератору

142. Сообщение от Аноним (142), 05-Дек-24, 16:56 +/–

Вот если бы ты смог широко распространить по миру "новость из достоверных источников!", что Кучерявый Сэм смог из тюрьмы дотянуться до своего "тайного грандиозного кошелька" с "мильярдами соляны" и сейчас вот-вот всё где-то (интересно, где?) распродаст... И если бы это еще совпало с мощной коррекцией битка (падения этак до 80к) - то да, может и прокатило бы. Если бы ты еще и плечо не меньше 25-го выставил. Но сейчас, или, только из-за этого из новости...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

143. Сообщение от Зануда (?), 08-Дек-24, 23:00 +1 +/–

Но ведь "настоящие деньги" это тоже либо бумажки и кусочки металла, не имеющие ценности сами по себе, либо циферки на компьютере банка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #138 Ответы: #144

144. Сообщение от нейм (?), 31-Дек-24, 11:11 +/–

Металл, бтв, ценность все же имеет. Возможно не такую как номинал, но все же.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #143

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Жироватт (ok), 04-Дек-24, 10:22	+12 +/–
Никогда такого не было - и вот опять. А ТЫ уже обновил все свои лефтпады из нпм на свежую протрояненную версию с отравленными зависимостями зависимостей зависимостей?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #7, #17, #43, #55

2. Сообщение от Аноним (2), 04-Дек-24, 10:23	+9 +/–
> JavaScript > web3 > криптовалюты > вредоносный код Бинго?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20, #45

3. Сообщение от Криптокибер (?), 04-Дек-24, 10:36	–3 +/–
Только как получить эту вашу Солану. Как ввести, как вывести? С виндовза можно? Там будут трояны?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #6, #138

4. Сообщение от Аноним (4), 04-Дек-24, 10:39	+/–
Я конечно не эксперт с необходимой экспертизой, но ... почему (сторонний) клиент напрямую работает с приватными (секретными) ключами?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27, #56

5. Сообщение от ryoken (ok), 04-Дек-24, 10:39	+1 +/–
>>работающих с зарытыми ключами уху
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15

6. Сообщение от Аноним (6), 04-Дек-24, 10:41	+/–
Какая винда? Кастомный дистриб собирай на базе LFS, спокойней будешь. Миллионы первому встречному доверять - глупо.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #9, #23

7. Сообщение от Аноним (7), 04-Дек-24, 10:42	+8 +/–
Ты не понял, "качай мне все зависимости" это современно плюс js безопасно работает с памятью!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

9. Сообщение от 1 (??), 04-Дек-24, 10:48	+2 +/–
Главное - не забывать обновляться ... Сколько там уязвимость действовала ? Как раз чтоб ключики утекли ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

11. Сообщение от Аноним (7), 04-Дек-24, 10:56	+4 +/–
Если вы загружаеты свой приватный ключ на вебприложуху, то тут проблема не в жабаскрипте.
Ответить \| Правка \| Наверх \| Cообщить модератору

13. Сообщение от Соль земли (?), 04-Дек-24, 11:09	+/–
Кому-то не пофиг на криптовалюты? Которые могут обвалиться в любое мгновение.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #14, #29, #41, #68

14. Сообщение от Аноним (4), 04-Дек-24, 11:13	+/–
Так как бежать больше некуда, бегут в крипту. Обвал крипты означает пи...дец деньгизму.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

15. Сообщение от RM (ok), 04-Дек-24, 11:13	+/–
Так отсылка к Буратыно же, классика...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

17. Сообщение от Ананимус (?), 04-Дек-24, 11:19	+6 +/–
Причем здесь зависимости зависимостей? Это официальный клиент. Примерно как если бы дыра появились в libpq.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #25

20. Сообщение от Аноним (20), 04-Дек-24, 11:22	+4 +/–
за определенную сумму (например $10 000) я тоже могу сказать что мою учетку скомпроментировали....
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #122

21. Сообщение от Аноним (-), 04-Дек-24, 11:24	+1 +/–
Дурики какие-то... зачем им какая-то крипта? Вот лучше бы сломали kernel.org и сопутствующую инфру как раньше. > распространялись через NPM во вторник 3 декабря c 18:20 по 23:25 Всего-то? Жалкие 11 часов?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #30, #52

23. Сообщение от Аноним (23), 04-Дек-24, 11:25	+6 +/–
Ты забываешь что помимо тысячи глаз в опенсорсе есть тысячи рук, которые так и норовят вставить свой троян или вульн в каждую либу. А тот же lfs не даёт гарантии безопасТности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #34

25. Сообщение от Аноним (23), 04-Дек-24, 11:27	+/–
Официальный клиент может быть и зависимостью и зависимостью зависимости.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #65

26. Сообщение от Бывалый Смузихлёб (ok), 04-Дек-24, 11:27	+1 +/–
Т.е никакой проверки заливаемого релизного кода в проекте нет ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #39, #48

27. Сообщение от Аноним (23), 04-Дек-24, 11:28	+/–
Как ты предлагаешь это делать накривую?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #35, #106

29. Сообщение от Наибулина (?), 04-Дек-24, 11:30 Скрыто ботом-модератором	+9 +/–
Молодец. Храни всё в рубле. Он обваливается не любой, а только в нужный момент. Как я скажу.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #33, #44

30. Сообщение от Аноним (30), 04-Дек-24, 11:40	+1 +/–
Зачем мучиться с kernel.org, когда написал простенький скрипт для перечисления на свой кошелёк и в продакшон.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21

33. Сообщение от Аноним (33), 04-Дек-24, 12:08	+/–
А!!! Такой хитрый ход, что бы не хранили, а тратили или вкладывали в бизнес. А по поводу перегретости экономики ты Ж:) для вида верещишь?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29

34. Сообщение от Аноним (34), 04-Дек-24, 12:09	+2 +/–
Ты забываешь, что абслолютную гарантию не даёт никакое творение рук человеческих. Если и даёт гарантию, то с какой-то вероятностью <100%. Так что и без третьих рук.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #50

35. Сообщение от Аноним (34), 04-Дек-24, 12:12	–1 +/–
Через разделение процессов, клиент - сервер?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #38

38. Сообщение от Аноним (23), 04-Дек-24, 12:21	+/–
Это ещё на каждого бота свой промежуточный сервер? Это сложно и противоречит принципу децентрализованности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35 Ответы: #42

39. Сообщение от Аноним (23), 04-Дек-24, 12:22	+1 +/–
Мы всегда проверяем. /me смех
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26

41. Сообщение от Аноним (41), 04-Дек-24, 12:53	+/–
Храни сбережения в рублях! (А доллар не в коем случае!)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

42. Сообщение от Аноним (34), 04-Дек-24, 13:08	+1 +/–
Локальное разделение, на компе у пользователя кошелька или чего там ещё. Код на JS говорит другому процессу, вот это подпиши, а не сам берёт ключ и подписывает.43
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #38 Ответы: #59, #60

43. Сообщение от Аноним (-), 04-Дек-24, 13:27	+1 +/–
И люди проглядевшие бекдор в ХЗ либе или Bvp47 запрещают жабаскриптерам ковыряться в носу? Чем этот лефтпад отличается от 100500 библиотек и зависимостей, которые обновляются в любом дистрибутиве? Воистину "в чужом глазу песчинку разглядывают, когда в своем уже ЖинТяны с бревнами"
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

44. Сообщение от Аноним (34), 04-Дек-24, 13:27	+3 +/–
>Как я скажу. Поправил: Как тебе скажут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29