Выбор ответа Middle Зависимости и supply chain спрашивают часто обновлено
Dependency confusion
Вопрос
Что такое атака dependency confusion?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: В публичный реестр кладут пакет с именем вашего внутреннего и большей версией. Атака использует то, что сборка ищет пакет в нескольких реестрах и выбирает максимальную версию.
Варианты ответа
- Атакующий публикует пакет с именем, похожим на популярный (
reqeusts), в расчёте на опечатку - Две версии одной библиотеки конфликтуют в дереве зависимостей, и в сборку попадает не та
- Мейнтейнер случайно публикует сломанную версию, и её подтягивают все с диапазоном
^ - В публичный реестр кладут пакет с именем вашего внутреннего и большей версиейправильный ответ
Разбор
Атака использует то, что сборка ищет пакет в нескольких реестрах и выбирает максимальную версию. Защита: scope или префикс, привязанный к внутреннему реестру, отключение fallback на публичный индекс, резервирование имён. Похожие имена это typosquatting, конфликт версий и сломанный релиз не атаки.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.