Kdo ovládá závislosti, ovládá vesmír

Shai-hulud – velký písečný červ Arrakis – nebyl ani prvním, ani posledním útokem na dodavatelský řetězec v rozlehlé poušti závislostí. Útočníci si ho sami pojmenovali. V roce 2025 přišla první mutace. Pak následovaly další dvě. A i my jsme to pocítili v naší společnosti.

Stačí jedna otrávená instalace a z kompromitovaných vývojářů i CI pipeline se stanou jezdci na červech – automaticky šíří infekci do každého balíčku, který spravují. Koření přihlašovacích údajů zřejmě musí proudit.

V této přednášce zmapujeme poušť: jak Shai-hulud fungoval, proč je model důvěry npm v podstatě pískoviště bez filtršatů a proč to nebude naposledy. Pak se vybavíme – odejdete s vlastním praktickým filtršatem: pravidly linteru a konfiguracemi správce balíčků, které můžete hned dnes přidat do svého projektu.

Fremeni přežili Arrakis tím, že respektovali poušť, nebáli se jí. Strach je zabiják mysli. Zdravá paranoia ohledně závislostí je ale prostě dobré inženýrství.