JavaScript, kas ir viens no populārākajiem programmēšanas valodām tīmekļa izstrādē, diemžēl arī slēpj savas "tumšās puses" – ļaunprātīgā koda ietekmi, kas var pusēkā mazināt mūsu datu drošību. Šajā rakstā aplūkosim dažādus aspektus un stāstus par to, kā ļaunprātīgas JavaScript bibliotēkas var novest pie nopietnām problēmām.

Patiesība par JavaScript bibliotēkām

Statistika rāda, ka vairāk nekā 90% tīmekļa vietņu izmanto JavaScript, taču ļoti daudzi izstrādātāji paļaujas uz trešo pušu bibliotēkām, neriskējot ar drošību. No populārākajām bibliotēkām, piemēram, jQuery vai Lodash, pat izstrādātāji, kas nebūt nav "tīkliem draudzīgi", ir pakļauti riskam, tāpēc ir svarīgi izprast šīs riska puses.

Vai gribi pasmieties?

Stāsts par kādu izstrādātāju, kas izdomāja izmantot nezināmu JavaScript bibliotēku savā projektā, liek pasmieties, bet tajā pašā laikā arī satraukt. Šīs bibliotēkas, kas, šķiet, sola milzīgu funkcionalitāti, faktiski var iekļaut ļaunprātīgu kodu, un tās izmantotāji, neapzinoties to, riskē zaudēt savus datus un klientu uzticēšanos. "Es nevarēju ticēt savām acīm, kad pamanīju, ka mans projekts ir uzlauzts!" viņš ir teicis.

Nekad neuzticēties, bet vienmēr pārbaudīt

Izstrādātājiem ir nepieciešams izstrādāt ticamas pārbaudes procedūras, pirms viņi iekļauj trešo pušu bibliotēkas. Saskaņā ar pētījumu, kas publicēts NPM platformā, vairāk nekā 25% populāro pakotņu nesniedz drošības garantijas. Tas nozīmē, ka, ja vien jūs neesat iedziļinājies šajās bibliotēkās, nav iespējams zināt, kādu risku uzņemat.

Kā var pasargāt sevi?

Bet kā var izstrādātājs pasargāt sevi no šiem draudiem? Pirmkārt, ieteicams izmantot rīkus, kas analizē jūsu izmantotās bibliotēkas, piemēram, Snyk vai GitHub drošības rīkus. Otrkārt, izstrādātājiem būtu jāievēro vislabākās prakses, piemēram, jaunu bibliotēku testēšana izstrādes vidē pirms to implementēšanas produkcijā.

Reālā pasaules piemērs

Redzams, kā 2019. gadā notika liels inciidents ar bibliotēku "event-stream". Tajā konstatēja ļaunprātīgu kodu, kas tika pievienots atjauninājumu procesā, kas varēja izraisīt lielus drošības bojājumus. Šī situācija parādīja, cik viegli ir ļaunprātīgajām izmaiņām iekļūt pat labi zināmās un plaši izmantotās bibliotēkās. "Tas bija kā iekrist augšanas sirdī," viens izstrādātājs dalījās savā pieredzē, kad viņš saprata, ka viņa klients ir zaudējis sensitīvus datus.

No kā jāuzmanās

Atcerieties, ka tikai nokopējot un ielīmējot JavaScript kodu no nezināmiem avotiem, jūs varat būt daļa no ļaunprātīgas programmatūras izplatīšanas. Kā viens no senioru izstrādātājiem labošanas procesu izstrādāšanas stadijā, viņš bieži piedzīvoju, kā tādi neuzmanīgi lēmumi var beigties ar nepatīkamām sekām:

"Kad es redzēju, ka vienas no mūsu mājas lapām veiktspēja krasi samazinājās, es nezināju, kas ir izmainījies, līdz sapratu, ka esmu iekļāvis virsrakstu no nezināmas bibliotēkas."

Šādas uzvedības ietekme uz darījumiem

Šāda veida riski var ne tikai ietekmēt izstrādātāja darbu, bet arī pamazām nogalināt lietotāju uzticību pakalpojumiem un produktiem, kuru pamatā ir HTML un JavaScript. Daži pētījumi liecina, ka aptuveni 70% lietotāju aptur raidījumus, ja viņiem ir bijušas pieredzes ar sliktas kvalitātes tīmekļa lapām.

Veidi, kā palielināt drošību

Patiesībā, ir daži efektīvi veidi, kā uzlabot ievietoto bibliotēku drošību. Piemēram, jūs varētu apsvērt iespēju izmantot lokālo bibliotēku versiju, nevis tieši piekļūt NPM. Tas samazina risku saskarties ar saitei uz potenciāli ļaunprātīgām bibliotēkām. Turklāt, izstrādātājiem ir rūpīgi jāparamos pieejams kods pirms tā iekļaušanas savā projektā.

Izglītība un apmācība

Piedāvājot apmācības un izglītību jaunajiem izstrādātājiem par iepriekš minētām tēmām, mēs veidojam drošāku izstrādes vidi. Bez skaidrībām par to, kā izvēlēties drošas bibliotēkas, mēs varam saskarties ar arvien pieaugošu ļaunprātīgo uzbrukumu skaitu. Izglītība ir spēks. Daudziem jauniem izstrādātājiem ir sevišķi svarīgi saprast drošības jautājumus, jo viņi ir nākotnes priekšgalā.

Noslēguma domas

Pateicoties visiem iepriekš minētajiem aspektiem, ir skaidrs, ka JavaScript var būt tēmas “*tumšā puse*”. Tas ir svarīgi, lai izstrādātāji un uzņēmumi būtu apzinīgi un uzmanīgi, piesardzīgi izvēloties bibliotēkas un rīkus. Laba drošība ir labāka izvēle nekā atmaksas drošība. Nākotne ir varbūtību pilna, bet atbildība ir svarīga, lai mēs varētu dzīvot un strādāt droši tīmekļa vidē.