Đang tải bảng tin…
Lobsters0 Hot0 bình luận7 phút đọc
You shouldn't trust Trusted Publishing
PyPI's Trusted Publishing is an OIDC-based machine-to-machine authentication scheme that lets CI/CD workflows publish packages without long-lived credentials. A common misconception is that a package using Trusted Publishing is somehow safer or more trustworthy for end users — it is not. Trusted Publishing only authenticates the upload; it says nothing about package quality, safety, or legitimacy. Anyone can use a Trusted Publisher to upload malware just as easily as a legitimate package. PyPI deliberately avoids surfacing Trusted Publishing status as a trust signal in its UI, and the Trusted Publishing status is buried in file metadata with no normative trust implication. Similarly, attestations (also OIDC-based) do not imply end-user trust until you separately establish trust in the signing identity.
Nguồn: https://blog.yossarian.net/2026/07/07/You-shouldnt-trust-trusted-publishing. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
Container Journal1 Hot5 phútAI
Security Flaw in Argo CD Can Let Attackers Take Over Kubernetes Clusters
Lỗ hổng bảo mật chưa được vá trong Argo CD cho phép kẻ tấn công thực thi mã từ xa không cần xác thực và chiếm quyền kiểm soát toàn bộ cụm Kubernetes. Lỗ hổng nằm ở giao diện gRPC không có cơ chế xác thực của thành phần repo-server, cho phép kẻ tấn công tiêm mã độc KustomizeOptions nếu đã xâm nhập vào cụm.
Lập trình viên cần đọc bài này để hiểu cách bảo mật Kubernetes bị lỗ hổng nghiêm trọng trong Argo CD, từ đó cập nhật kiến thức về các rủi ro mới và cách phòng ngừa, đặc biệt khi sử dụng công cụ GitOps trong môi trường sản xuất.
