Chủ đề

Bảo mật chuỗi cung ứng phần mềm

Gói mã độc trên npm, PyPI và các kho thư viện, tấn công vào công cụ build và CI/CD, SBOM, ký và xác minh artifact, phụ thuộc mã nguồn mở bị chiếm quyền.

30 bài viết, sắp theo độ sát với chủ đề, cập nhật hằng ngày

Chứng chỉ hợp lệ nhưng tài khoản bị đánh cắp: Cách kẻ tấn công phá vỡ tín hiệu tin cậy cuối cùng của npm

AI & Machine Learning

Chứng chỉ hợp lệ nhưng tài khoản bị đánh cắp: Cách kẻ tấn công phá vỡ tín hiệu tin cậy cuối cùng của npm

Vào ngày 19 tháng 5, 633 phiên bản gói npm độc hại đã vượt qua xác minh Sigstore nhờ chứng chỉ ký từ tài khoản bảo trì bị xâm phạm. Song song đó, tiện ích mở rộng VS Code cũng bị tấn công, lộ lọt hàng loạt khóa bảo mật. Các nghiên cứu mới đây cho thấy mô hình xác thực của các công cụ lập trình AI đang gặp lỗi nghiêm trọng trên nhiều mặt trận.