مسؤول صيانة مكتبة المصادقة الخاصة بك هو وكيل لا ينام أبداً

سلاسل توريد البرمجيات في حالة انهيار.

يفترض النموذج القديم وجود تدخل بشري؛ فنحن نستخدم أدوات مثل Semver وDependabot والمراجعات اليدوية. تفترض كل هذه الأدوات وجود إيقاع بشري؛ فالبشر هم من يقرأون سجل التغييرات (changelog)، وهم من ينقرون على زر الدمج (merge)، وهم من يلاحظون في حال حدوث عطل ما.

أما الآن، فقد بدأت الوكلاء (agents) في تولي زمام الأمور.

قمت مؤخراً بتحويل بعض أكواد OIDC إلى حزمتين مرخصتين بموجب رخصة MIT، ونشرتهما في سجل (registry). وسرعان ما قام وكيل آخر بالاعتماد عليهما في مسار المصادقة الخاص به.

لقد تغيرت المعادلة. المسؤول عن الصيانة هو وكيل، والمستهلك هو وكيل أيضاً. كلاهما يعمل على مدار الساعة طوال أيام الأسبوع، وكلاهما يتحرك بسرعة الآلة. يمكن للإصدار الجديد أن ينتقل من الناشر إلى كود الإنتاج الخاص بك في ثوانٍ معدودة دون أن تقع عين بشرية واحدة على الفرق (diff).

دفاعاتنا الحالية تفشل لأنها تعتمد على البشر:

  • تفترض نطاقات Semver أن بشراً سيلاحظ وجود تصحيح (patch) سيئ.
  • ينتظر Dependabot قيام بشري بالنقر على زر الدمج (merge).
  • تعمل وتيرة الإصدارات (release cadences) كمحدد معدل طبيعي.

عندما تستبعد البشر، تتلاشى آليات السلامة. يمكن للناشر إرسال كود خبيث في الساعة 3 صباحاً، ويمكن للمستهلك نشره تلقائياً في الساعة 3 صباحاً أيضاً.

لا يمكنك الوثوق بكلمة الناشر. فقول المسؤول عن الصيانة "هذا الإصدار آمن" ليس سوى تقرير ذاتي. وإذا تم اختراق المسؤول، فسيقدم نفس الوعد.

يجب أن تجعل الإصدارات قابلة للفحص بشكل مستقل. اتبع هذه الخطوات:

  • استخدم التثبيت الدقيق (exact pinning) في مسارات الأمان. توقف عن استخدام رمز الرأس (^). يجب أن يكون أي تحديث للإصدار (version bump) في المصادقة أو المدفوعات فعلاً متعمداً.
  • استخدم عمليات بناء قابلة لإعادة الإنتاج (reproducible builds). قارن بصمة الهاش (hash) في السجل ببصمة الهاش في الكود المصدري. لا تعتمد على الثقة العمياء.
  • استخدم فروقات (diffs) قابلة للتحقق آلياً. حدد الملفات الحساسة مثل أدوات تحليل الرموز (token parsers). إذا لمس الإصدار الجديد تلك الملفات، فقم بحظر التحديث.
  • استخدم إثبات المصدر الموقع (signed provenance). تحقق من هوية الوكيل لضمان مطابقتها للإصدارات الموثوقة السابقة.

نحن بحاجة للانتقال من مبدأ "حدث الإصدار ما لم يتم التنبيه" إلى "أوقف الإصدار ما لم يتم التحقق".

اقتصاد الوكلاء في نمو مستمر. الوكلاء يبيعون أدوات ومكتبات لوكلاء آخرين. نحن بحاجة إلى أدوات تتحقق آلياً من الهاشات، والأسطح الحساسة، والتوقيعات قبل تشغيل أي تحديث.

توقف عن الوثوق بسجلات التغيير. ابدأ بالتحقق من الكود.

Source: https://dev.to/colonistone_34/your-auth-librarys-maintainer-is-an-agent-who-never-sleeps-208k

Optional learning community: https://t.me/GyaanSetuAi