टैनस्टैक समझौता: मैकओएस पर ओपनएआई पर हमला

TanStack की आपूर्ति श्रृंखला में एक सुरक्षा घटना ने तकनीकी समुदाय को सतर्क कर दिया है। हमले में OpenAI के दो कर्मचारियों के उपकरणों से समझौता करने में सफलता मिली, जिससे कंपनी को macOS सिस्टम पर तत्काल अपडेट तैनात करने के लिए मजबूर होना पड़ा। यह मामला बताता है कि कैसे दुर्भावनापूर्ण अभिनेता लक्ष्य कंपनी पर सीधे हमला किए बिना, तीसरे पक्ष की निर्भरता के माध्यम से घुसपैठ कर सकते हैं।

तीसरे पक्ष की निर्भरता का शोषण कैसे किया जाता है 🛡️

सॉफ्टवेयर आपूर्ति श्रृंखला एक आवर्ती हमला वेक्टर है। इस मामले में, हमलावरों ने TanStack के घटकों में दुर्भावनापूर्ण कोड इंजेक्ट किया, जो JavaScript पारिस्थितिकी तंत्र में एक लोकप्रिय लाइब्रेरी है। निर्भरता को अपडेट करते समय, OpenAI के डेवलपर्स ने अनजाने में पेलोड डाउनलोड कर लिया। एक बार अंदर जाने के बाद, हमलावरों ने दो Macs पर स्थानीय डेटा तक पहुंच प्राप्त कर ली। OpenAI ने अपने सिस्टम को पैच करके और macOS पर निष्पादन अनुमतियों की समीक्षा करके, अनधिकृत प्रक्रियाओं को सीमित करके जवाब दिया। सबक स्पष्ट है: प्रत्येक निर्भरता का ऑडिट करना वैकल्पिक नहीं है, यह अनिवार्य है।

आँख बंद करके सब कुछ अपडेट करने का मज़ेदार पक्ष 😅

यदि यह घटना हमें कुछ सिखाती है, तो वह यह है कि npm install पर आँख बंद करके भरोसा करना आपके कोड की समीक्षा करने के लिए किसी अजनबी को आमंत्रित करने जैसा है। OpenAI को दो Macs में आग बुझानी पड़ी क्योंकि कहीं न कहीं किसी ने फैसला किया कि चेंजलॉग पढ़े बिना किसी लाइब्रेरी को अपडेट करना एक अच्छा विचार था। अब, जब भी आप 10 मिलियन साप्ताहिक डाउनलोड वाला कोई पैकेज देखें, तो याद रखें: इसमें आपका दिन बर्बाद करने के 10 मिलियन तरीके भी हो सकते हैं।