في خطوة تهدف إلى تحسين أمان سلسلة التوريد للمطورين، أعلن مسؤولو سجل حزم بايثون (PyPI) عن ميزة جديدة تسمح لمطوري الحزم بأرشفة مشاريعهم. تهدف هذه الميزة إلى إبلاغ المستخدمين بوضوح أن المشروع لم يعد يتلقى تحديثات جديدة.

التفاصيل والتحليل

صرح فكوندو تويسكا، المهندس البارز في شركة تريل أوف بيتس، قائلاً: “يمكن للمسؤولين الآن أرشفة مشروع لإعلام المستخدمين بأن المشروع لن يتلقى أي تحديثات مستقبلية.” يتيح هذا الإعلان للمطورين معرفة أن مكتبات بايثون المعنية لم تعد تحت الصيانة النشطة، ما يعني عدم توقع أي إصلاحات أمنية أو تحديثات مستقبلية.

على الرغم من أن المشاريع التي تم أرشفتها ستظل متاحة على PyPI، وسيكون بإمكان المستخدمين تثبيتها دون مشاكل، إلا أن التوصية تتضمن أن يقوم مطورو الحزم بإصدار نسخة نهائية قبل الأرشفة وتحديث وصف المشروع لتحذير المستخدمين وتقديم بدائل كحلول بديلة.

الأثر والتداعيات الأمنية

يأتي هذا التطوير في أعقاب إطلاق PyPI لميزة الحجر الصحي للمشاريع، مما يسمح للمسؤولين بتحديد مشروع ما كمشتبه به ومنع تثبيته من قبل المستخدمين الآخرين لتجنب الأضرار المحتملة. في نوفمبر 2024، تم وضع مكتبة بايثون aiocpa في الحجر الصحي بعد اكتشاف تحديث جديد يحتوي على كود ضار مصمم لسرقة المفاتيح الخاصة عبر تطبيق تليغرام.

منذ أغسطس من العام الماضي، تم وضع حوالي 140 مشروعًا في الحجر الصحي وإزالتها من السجل باستثناء واحد. أشار مايك فيدلر، المسؤول في PyPI، قائلاً: “إن وجود هذه المرحلة الوسيطة يمكن مسؤولي PyPI من توفير المزيد من الأمان للمستخدمين النهائيين، وحمايتهم بشكل أسرع من خلال إزالة الحزم المشتبه بها، مع السماح بإجراء تحقيقات إضافية.”

التوسع والاستبصار

إن إدخال حالة الأرشفة يعكس الاتجاهات الأوسع في إدارة البرمجيات المفتوحة المصدر، حيث تزداد الحاجة إلى توفير معلومات دقيقة حول حالة الصيانة للمشاريع. يمكن أن تكون هذه الخطوة جزءًا من استراتيجيات أوسع لتحسين أمان سلسلة التوريد، مثل اعتماد معايير جديدة مثل إطار عمل NIST لإدارة مخاطر سلسلة التوريد الرقمية.

كما يمكن أن يساعد هذا الإجراء في تقليل المخاطر المرتبطة باستخدام مكتبات غير مدعومة، مما يعزز من ممارسات الأمان الجيدة وضمان الاعتماد على مكتبات موثوقة ومحدثة.

نقطة للنقاش

كيف يمكن لمطوري البرمجيات والمستخدمين النهائيين التعاون بشكل أفضل لتعزيز أمان سلسلة التوريد في البرمجيات المفتوحة المصدر؟ شاركنا برأيك على X (تويتر) وفيسبوك.