Jebakan pustaka pihak ketiga
Categories:
- Jebakan pustaka pihak ketiga
Hari ini kita membahas celah pada library log pihak ketiga terbaru yang dapat dieksploitasi dengan sangat mudah untuk menjalankan perintah jauh. Satu pustaka log dan perintah jauh tampak tidak berhubungan, tetapi library pihak ketiga yang melenceng tersebar di sekeliling.
Semakin banyak kode yang dibaca, semakin terasa bahwa banyak kode open source memiliki kualitas yang sangat buruk, terlepas dari seberapa banyak k star yang ia miliki, star itu merepresentasikan permintaan, bukan kualitas pengembangan.
Keuntungan open source adalah banyak orang yang dapat berkontribusi, keuntungan lain adalah fitur dapat ditambahkan cepat, bug dapat dipecahkan oleh orang lain, kode dapat diaudit oleh orang lain, tetapi kualitasnya masih beragam.
Jika tidak ada pembatasan yang kuat terhadap pengiriman kode, kualitas kode sulit dijamin.
Semakin banyak kode, permukaan serangan menjadi semakin besar.
Meskipun mengulangi pembuatan roda tidak baik, tetapi kebutuhan produk hanyalah roda sepeda kecil, sepeda plastik tidak pernah rusak, menambahkan roda pesawat terbang hanya meningkatkan permukaan serangan dan biaya pemeliharaan. Oleh karena itu, jika hanya diperlukan roda sepeda kecil, tidak perlu menggunakan bahan besar.
Biaya pemeliharaan tinggi, pustaka pihak ketiga memerlukan prosedur khusus dan personel untuk dipelihara. Huawei mengembangkan kerangka uji coba yang di-modifikasi secara ekstensif, yang langsung menyebabkan kegagalan contoh saat memperbarui kompilator, dan konflik terjadi saat memperbarui kerangka uji coba dan kompilator. Dalam pemeliharaan, membutuhkan waktu yang signifikan untuk terus-modifikasi jalur tersebut. Sebagai peserta, saya sangat menyadari kesulitan mengubah library pihak ketiga. Jika modifikasi hanya berkaitan dengan fitur, dapat dikembalikan ke pustaka open source, tetapi untuk kebutuhan khusus, pengembangan yang invasif akan membuat pemeliharaan menjadi sangat sulit.
Dalam menghadapi pustaka pihak ketiga, Huawei menciptakan rangkaian prosedur yang dapat dikatakan sangat menghambat.
Pergantian sangat ketat, menambah pustaka pihak ketiga memerlukan pakar tingkat 18 dan penilaian oleh bupati tingkat 20, hampir hanya pustaka yang terkenal lama yang dapat dipakai.
Semua pustaka pihak ketiga ditempatkan dalam folder thirdparty, saat compile penuh, CI membandingkan dengan sumber asli, dan modifikasi invasif dilarang.
Alat khusus untuk melacak versi semua pustaka pihak ketiga, bagian ini dikelola oleh karyawan outsourcing, dan jika pengembang mengajukan permintaan upgrade versi, butuh persetujuan bupati.
Sulit menemukan bupati yang dapat mengatasi hal seperti ini, dan ketika prosesnya sangat rumit, sebenarnya itu mencoba mencegah Anda melakukan hal tersebut.
Perlakukan pustaka pihak ketiga dengan attitude yang tidak terlalu percaya diri, dan percaya pada kemampuan diri sendiri dalam pengembangan.