Write-upCloud Security
Dependency Confusion ve Yazılım Tedarik Zinciri Saldırıları
Dependency confusion, bir kuruluşun özel (private) paket isimlerini bilen bir saldırganın aynı ismi yüksek sürüm numarasıyla public registry'ye (npm, PyPI, RubyGems) yüklemesiyle paket yöneticisinin kötü niyetli sürümü çözümlemesidir. Alex Birsan 2021'de bu teknikle Apple, Microsoft, PayPal dahil 35+ şirkete sızarak 130.000 dolardan fazla ödül kazandı; PyTorch ise Aralık 2022'de aynı sınıf saldırıya maruz kaldı. Savunma tek bir yapılandırma değil, scoped namespace, isim rezervasyonu, lockfile+hash, tek-kaynak registry ve SCA'dan oluşan katmanlı bir modeldir.
