Parler des "affaires" npm : event-stream,

thom4parisot / nodebook

📖 Livre publié aux Éditions Eyrolles • Première édition : Node.js v10 et npm v6.

https://apprendre-nodejs.fr/v1/

Other

305 stars 73 forks source link

Open thom4parisot opened 5 years ago

thom4parisot commented 5 years ago

[ ] left-pad (module supprimé, dépendants bloqués)
[ ] npm worm (post-install, accès au système)
[ ] event-stream (ajout d'un module de cryptomining)
[ ] https://blog.npmjs.org/post/185397814280/plot-to-steal-cryptocurrency-foiled-by-the-npm

Pourquoi ?

Pour mesurer la diversité des vecteurs d'attaque. Et savoir si on est vulnérable, comment réagir, comment mettre à jour les modules.

DirtyF commented 5 years ago

Est-ce que la centralisation des dépendances et les initiatives pour y faire face entrent dans ce cadre des "affaires" ? https://github.com/entropic-dev/entropic/blob/master/docs/README.md#the-problem-for-real

thom4parisot commented 5 years ago

Je le voyais plutôt dans #377 — gouvernance & cie.

Mais au final, ce contenu a clairement sa place — que ça soit dans cette issue ou l'autre. Merci de l'avoir pointé 👍