💡
原文中文，约4300字，阅读约需11分钟。
📝
内容提要
一个Rust库遭到供应链攻击，导致四百万开发者的电脑中毒。攻击源于程序员的盗窃事件，恶意代码通过多个依赖传播，最终被一个挖矿病毒意外修复。事件揭示了Rust生态的安全隐患，包括build.rs权限过大、审核机制缺失和依赖层级过深等问题。
🎯
关键要点
- 一个Rust库遭到供应链攻击，导致四百万开发者的电脑中毒。
- 攻击源于程序员Marcus Chen的盗窃事件，恶意代码通过多个依赖传播。
- 攻击者利用了一个新注册的网站，导致用户的配置文件被盗。
- Rust生态的安全隐患包括build.rs权限过大、审核机制缺失和依赖层级过深等问题。
- 最终，一个挖矿病毒意外修复了被传播的恶意代码。
- 事件揭示了Rust生态的脆弱性，尤其是在依赖管理和安全审核方面。
- 后续改进方案包括实现制品签名、强制两步验证和审计间接依赖。
❓
延伸问答
Rust生态库被投毒的事件是如何发生的？
事件源于程序员Marcus Chen的盗窃事件，恶意代码通过多个依赖传播，最终导致四百万开发者的电脑中毒。
这次供应链攻击的主要安全隐患是什么？
主要隐患包括build.rs权限过大、审核机制缺失和依赖层级过深等问题。
挖矿病毒是如何意外修复恶意代码的？
挖矿病毒通过其传播机制意外地升级了snekpack，回滚了恶意代码，最终修复了被传播的恶意代码。
Rust生态系统中有哪些改进方案被提出？
改进方案包括实现制品签名、强制两步验证和审计间接依赖等。
这次事件对开发者和客户有什么影响？
部分客户可能遇到不理想的安全结果，开发者的电脑中毒数量约为四百二十万。
Rust生态的安全问题与Java生态相比如何？
虽然Java生态也存在问题，但Java的Maven中央仓库会对上传的包进行基本的静态扫描，而Rust完全不进行审核。
➡️
