npm, pnpm, yarn වැනි ප්රසිද්ධ පැකේජ් කළමනාකරුවන්, නව සංස්කරණයක් පළ වූ පසු 24 පැය හෝ 7 දින කාලයක් “cooldown” ලෙස නියම කර ඇත.
මෙම ක්රියාමාර්ගය, පසුගිය වසර කිහිපයේ පද්ධති පිරිසිදු කිරීමේ ප්රහාරයන් වැඩි වීම නිසා ආරක්ෂක “හූනිය” ලෙස ගෙන ආවේ. නමුත්, එය නිතර “security theater” එකක් බව විවේචකයින් පවසයි.
ආදර්ශය වන්නේ, කණ්ඩායමක කෙනෙකු පළමු වරට පැකේජ් එක ස්ථාපනය කර, ගැටලුවක් හඳුනාගෙන, අනෙක් අය වෙත දැනුම් දීමයි. නමුත්, කාළයෙහි කවුද ඒ “canary” වෙන්නේ, කූල්ඩවුන් කාලය කොපමණ විය යුතුද යන ප්රශ්න තවමත් පිළිතුරු නැත.
ඉන්පසු, CI/CD පයිප්ලයින් භාවිතා කරන සංවිධාන, Dependabot PR එකක් මඟින් නව පැකේජ් එකක් ස්වයංක්රීයව ඇදගෙන යනවා. අනික් පැකේජ් එකේ දුෂ්කර කේතයක් ඇතුළත් නම්, ඒක CI එකේ පරීක්ෂා නොවෙයි නම්, ඒක නිෂ්පාදනයට පත් වීමට ඉඩ ලැබේ.
ඒ නිසා, “DYOR – Do Your Own Research” යන සංකල්පය දැන් අත්යවශ්ය වේ. Static analysis, SAST, sandbox, HIPS, LLM‑assisted audit වැනි උපකරණ භාවිතා කර, පැකේජ් එක විශ්ලේෂණය කළ යුතුය.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ බොහෝ තාක්ෂණික ආයතන, ස්ථානීය සොෆ්ට්වේයාර් සමාගම් සහ විශ්වවිද්යාල සිසුන්, npm වගේ රෙජිස්ට්රි වලින් පැකේජ් ලබා ගනී. කූල්ඩවුන් මත රැඳී සිටීමෙන්, ප්රොජෙක්ට් කාලසටහන පරාජිත වීමට ඉඩ ඇත.
- දෙවන පාර්ශවයේ කේතය භාවිතා කරන ආයතන, අනාගත දුෂ්කරතා වලින් ආරක්ෂා වීමට ස්වයං විශ්ලේෂණ ක්රම ඇතුළත් කළ යුතුය.
- සිසුන්, නවතම ලයිබ්රරී පරීක්ෂා කිරීමේදී, sandbox හෝ LLM‑based code review භාවිතා කර, ආරක්ෂක අවදානම් වැළැක්විය හැක.
- ව්යාපාරිකයන්, CI/CD පයිප්ලයින් වලට සුරක්ෂිතතා පරීක්ෂාවන් එකතු කර, නව පැකේජ් එකක් මර්ජ් කිරීමේ පෙර පියවරක් ලෙස සකස් කළ යුතුය.
කූල්ඩවුන් කාලය “ආරක්ෂාව” ලෙස දැක්වීම වෙනුවට, කේතය පරීක්ෂා කිරීම, ස්වයංක්රීය සක්රිය පරීක්ෂා ක්රම භාවිතා කිරීම, ශ්රී ලංකාවේ තාක්ෂණික පරිසරයට වඩා බරපතල ආරක්ෂාවක් ලබා දේ.
අවසන් වශයෙන්, කාලය බලා සිටීමේ පරිසරය තවත් අර්ථයක් නොවෙයි. දැන්ම කේතය පරීක්ෂා කර, “security theater” එකෙන් පිටවෙමු.
