URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 125908
[ Назад ]
Исходное сообщение
"В каталоге PyPI выявлены вредоносные библиотеки, использующие CDN PyPI для скрытия канала связи "
Отправлено opennews , 20-Ноя-21 10:04 
В каталоге PyPI (Python Package Index) выявлено 11 пакетов, включающих вредоносный код. До выявления проблем в сумме пакеты успели загрузить около 38 тысяч раз. Выявленные вредоносные пакеты примечательны применением замысловатых способов скрытия каналов связи с серверами злоумышленников...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=56190

Содержание
Сообщения в этом обсуждении
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено 918 , 20-Ноя-21 10:04 
> Сервер атакующих также регистрируется в CDN Fastly, который предоставляет всем желающим бесплатные тарифные планы и даже допускает анонимную регистрацию.

с ребятами в масках Гая Фокса шутки плохи

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 13:13 
С серьёзными ребятами в масках-балаклавах шутки ещё более плохи.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Анонимъ , 20-Ноя-21 13:35 
Это одни и те же люди
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено псевдонимус , 20-Ноя-21 13:37 
Будто они не анонимусы для обычных людей.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 10:13 
>Фактически запросы отправлялись на сервер pypi.python.org, но при этом в HTTP-заголовок "Host" выставлялось имя сервера, подконтрольного атакующим (sec.forward.io.global.prod.fastly.net).

Неужели телеграм ещё не поработал над созданием предлога для их запрета в РФ?

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 13:22 
В итоге Павлик Мо^WДуров с товарищем майором подружился, у нас теперь демократия и ничего не блокируется (из интересного хомячкам, конечно, так что линкедин не в счет).
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 20-Ноя-21 13:38 
Андрей Юрьевич, если у вас так и не получилось что-то заблокировать, то не надо вешать всем лапшу на уши что это из-за того что с вами договорились, а не из-за того что у вас недостаточно компетентных специалистов.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено tty0 , 20-Ноя-21 21:22 
Вообще, случай с линкед очень показательный: бессмысленная блокировка и наглое нарушение законов. Обе стороны хороши, только неудобства для простых людей.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 22:06 
А какой закон нарушила LinkedIn?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 23:15 
152 ФЗ по которому личные данные российских пользователей должны храниться на серваках, физически расположенных в РФ. Ну чтобы есличо не заморачиваться писаниной, а просто послать ребят в масках и с калашами диски вытащить с этими данными.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 00:18 
Российские законы в интернете не действуют. Де-факто, интернет - это суверенная территория США, пора бы с этим смириться. Хотите пользоваться интернетом - не нарушайте своими действиями интересы страны-владельца.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено 1111 , 21-Ноя-21 05:41 
>Российские законы в интернете не действуют. Де-факто, интернет - это суверенная территория США, пора бы с этим смириться. Хотите пользоваться интернетом - не нарушайте своими действиями интересы страны-владельца.

тогда чего вы жалуетесь на действия российских чиновников с инетом? идите и жалуйтесь в америку - своему владельцу.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 12:11 
Потому что частная собственность должна быть неприкосновенна. На каком основании российские чиновники что-то там делают с американским интернетом? Непорядок, надо санкции ввести.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:28 
Частная собственность неприкосновенна в государстве не бывает. Государственные интересы в любом государстве превыше всего. Если владельцы Интела или ARM LLC решат продать компанию РосНано, то им никто не даст. Вот и вся тут частная собственность.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 09:53 
Да нет, не захотят. Ими владеют те же люди, которые определяют политический курс США, с понятным отношением к subhumans.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 14:52 
Китайцам расскажи что в инете американские законы действуют, а не местные. Сильно удивятся.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:29 
А у китайцев не интернет, у них виннипухнет.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 00:15 
> если у вас так и не получилось что-то заблокировать

"Не получилось" - это как раз линкедин, который вроде бы заблокирован, но все, кому надо, заходят.

А телега - это уже практически официальный мессенджер российских властей, даже у какой-нибудь администрации Верхнего Задрючинска уже официальный телеграм-канал есть.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 11:52 
Хотел принять участия в хакатоне, а там: "Присоединитесь к Телеграм-каналу. Всё общение и координация ведётся через него". Шли бы они на пашу с такими замашками.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 21-Ноя-21 19:24 
Я правильно понял вашу логику - если кто-то из администрации ходит срать в туалет, значит в этом туалете сидят агенты ФСБ?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 09:51 
ФСБ этим не занимается, это работа ФСО.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 15:19 
Они никогда и не сорились. Спроси у Усманова.
Совместный проект "псевдопротеста"
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 16:37 
Я даже рад. Телеграм очень даже хороший и легковесный мессенджер. Не останется в тени запрета и им будет пользоваться не только 2,5 анонимуса.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 18:03 
Разве не изначально? Разве это не при павлике в ВК всех пользователей, не привязавших телефон, перестали впускать? Разве телега не требует привязки телефона?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 14:20 
У Павла gram не взлетел. Он теперь с кем угодно готов договорится за хорошую сумму.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 00:23 
Да он всегда был хорошим бизнесменом. Странно было бы отрицать, что его основные проекты - ВК и телега - монетизируются за счет данных пользователей.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 12:34 
Ор, почему он тогда при основании Вконтакте оставил себе так мало акций. А больше половины отдал инвестору? Его развели ровно в тот момент когда ему дали денег на ВК. И грам у него посыпался телеграмм в минусах и вообще у него прибыльных проектов никогда не было. Как перестать орать с Дурова?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:22 
Тебе на вк денег не дали, поэтому ты и не миллиардер.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:25 
Имеется в в иду, что даже не смотря на то, что большая часть акций в вк не его, если бы он отказался, то никакого телеграма бы не было. Они с братом хорошо поработали и получили что заслужили.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 10:26 
Есть ещё один способ скрытия. Изготавливается пакет. С сорцами на гитхабе. Легитимно выглядящий. В сорцах нет ничего лишнего. Только pickle используется "для ускорения", pickles строятся во время сборки пакета. Pull requestы, выпиливающие pickle, закрываются с мотивацией "я тут автор, и я решаю, что в моём пакете будет".

А дальше если в пакет на pypi в встроенные в wheel pickles внести вредоносный код, никто и не обнаружит. Мало того, что почти никто не смотрит пакеты на pypi, так ещё pickles - это бинарник, для анализа которого инструментария нормального нет. Соответственно статические анализаторы, которые почти все заточены под исключительно исходник, его пропустят.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 11:12 
Звучит как история с уже имеющимся пакетом.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено tty0 , 20-Ноя-21 21:24 
Почему только с одним таким пакетом?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено keydon , 20-Ноя-21 12:25 
То же самое можно сказать про любой бинарник и средство сериализации.
Решается загрузкой через ci only (желательно публичной). Сервису скармливается репозиторий с инструкциями, он их сам собирает и предоставляет логи сборки всем желающим(конечно нужно просмотреть исходники и логи ci, но это все равно проще чем сейчас).
Учитывая что код на питоне в основном открытый, то такая схема подошла бы как нельзя лучше pypi.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 13:22 
>Решается загрузкой через ci only (желательно публичной).

Не решается в принципе. Корень проблемы в том, что мейнтейнеры некоторых пакетов - моральные уроды. А пакеты поставляются как AS IS. Не нравится - не пользуйся. Или делай свой форк.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено tty0 , 20-Ноя-21 21:25 
Привет snap?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 21:53 
И как снап решает проблему вредоносного ПО, встроенного в СПО создателем этого ПО?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено я , 26-Ноя-21 10:36 
снап ничего не решает, он добавляет ворох новых проблем
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 05:12 
Там вроде все серьёзные пользователи нейронок используют разной васяности блобы и репозитории блобов. Куда ты там pickle выпиливать собрался, чтобы заменить на что именно?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 09:41 
Не все, а только пользователи pytorchа.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 10:41 
>yandex-yt (4183) - выводил сообщение о компрометации системы и перенаправлял на страницу с дополнительной информацией о дальнейших действиях, выдаваемой через nda.ya.ru (api.ya.cc).

Похоже, что кто-то получил награду в bug bounty.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 17:20 
Только ссылка похожа на внутреннюю и разместил или кто-то из простых сотрудников чтобы потроллить коллег или из безопасников, чтобы сообщить, что неправильно сконфигурили pip
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 26-Ноя-21 00:08 
Скорее всего, сами безопасники в рамках pentest-а и разместили.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 11:09 
Красиво.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Онаним , 20-Ноя-21 11:30 
Ахах, очередная бочка дерьма в ложке мёда всяких пипи с нпмами.
Ничего, нормально, пусть хавают.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено keydon , 20-Ноя-21 12:35 
Это специфично для любого репозитория любого языка с загрузкой пакета без модерации (а модерация экспертами это очень долго и очень дорого, банально пакеты станут золотыми и все равно ничего не гарантирует).
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Онаним , 20-Ноя-21 13:33 
Именно. Специфично для crowd shit intake.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Калонизация Луны , 21-Ноя-21 21:17 
Тебе бы в психушку. Так полыхать не нормально.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено ммнюмнюмус , 05-Дек-21 19:29 
А че... общественный дерьмозаборник^^
в текущей ситуации очень подходящее звание для пипки ;)
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 20-Ноя-21 13:40 
То-то я смотрю мой дебиан аж светится от количества золота.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено keydon , 20-Ноя-21 15:06 
> То-то я смотрю мой дебиан аж светится от количества золота.

Так дебиановцы (и все прочие) только собирают(и адаптируют) пакеты, они конечно смотрят изменения (и то не всегда), но аудит на уязвимости не проводят. Что впрочем тоже неплохо в современных реалиях (и мейнтейнеры тоже золотые люди).

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 15:12 
Я не дебиановец, но обычно перед установкой пакета я прогоняю bandit, который детектирует топорно сделанные бэкдоры на основе pickle, marshal, subprocess и exec/eval.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Козлёнок по имени Антон , 21-Ноя-21 03:22 
Часто что-то находится
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 09:42 
Регулярно.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:28 
Интересно, что ты там устанавливаешь, и куда ты денешься, когда без необходимого пакета ничего не заработает.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 18:36 
Форкну.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Онаним , 24-Ноя-21 00:56 
Ты по ходу забыл, что макаки умеют только тянуть пакеты в рот, форкать - это уже мимо тазика.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено я , 26-Ноя-21 10:39 
гугли "ночное золото", так всё на свои места приходит
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 26-Ноя-21 20:39 
Если это первая ассоциация, которая пришла к вам в голову - то у меня для вас плохие новости.

Психиатры, если что, сейчас совсем не дороги.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 12:49 
Шутка о том, что «чтобы вирус попал на машину с Linux, нужно чтобы пользователь САМ его скачал, собрал и установил» перестаёт быть просто шуткой.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 13:23 
В данной новости не про вирусы. Это зловредный код, но не вирус. Т.к. не обладает главной отличительной чертой вируса - саморастпространение пктём заражения исполняемых файлов. И да, это требует, чтобы пользователь САМ это установил у себя.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 20-Ноя-21 13:44 
Смиритесь, в массовом сознании любой зловред называется "вирус".
Трояны, руткиты, вирусы, бекдоры, адваре, черви, даже сплоиты - это все "вирусы".

Sad but True.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 13:54 
Тогда получается что в винде by default встроены вирусы
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено нах.. , 20-Ноя-21 14:17 
По другому никогда и не было.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 08:59 
Винда версий NT 3.1 - Win2000 была еще без троянов. Сама она ничего никуда не сливала и странных коннектов непонятно чего непонятно зачем не делала. Хотя некоторые вещи в ней были странно уязвимы к атакам, но хотя бы сама активность не проявляла.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 11:44 
В те времена нормального рынка бигдаты не было.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено yet another anonymous , 22-Ноя-21 15:53 
> ... не сливала и странных коннектов непонятно чего непонятно зачем не делала.

Делала. Я ловил её на этом. Что сливала --- не очень понятно ---- похоже было на свёртку чего-то или "я тут и жива".

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 22:29 
> Делала. Я ловил её на этом. Что сливала --- не очень понятно ---- похоже было на свёртку чего-то или "я тут и жива".

Интересно, не помню. Может это уже WinXP?  Просто хорошо помню, что еще Win2k мог все же часами стоять с нулевым TX трафиком. Или с NT 4 путаю?

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Урри , 20-Ноя-21 14:43 
Добро пожаловать в клуб.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 21:11 
Просто там до этого додумались раньше чем в федоре, убунте или опенсюсе с их /etc/motd и прочим для слива той же телеметрии
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 15:07 
А чем пакеты не вирусы? Выпускаешь пакет, его начинают использовать, рассказывают другим те тоже используют, рассказывают другим и так далее, чем не саморепликация.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 12:39 
А во времени дискет как вирусы распространялись? А я тебе расскажу: Через дискеты! Вирусы не по воздуху ни по электросети не могут залезть в ПК они мать его сидели записанные на дискету и ждали когда кто-то передаст эту дискету на следующий компьютер и запустит. В дискетах даже авторана не было как на флешках и вирусы все равно распространялись!  
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено yet another anonymous , 22-Ноя-21 22:17 
"На столе лежит дискета
У неё запорчен бут.
Через дырочку в конверте
Её вирусы грызут.
Тяжела и неказиста
Жизнь простого программиста." (C)
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено lockywolf , 20-Ноя-21 13:32 
Fastly не запрещают domain fronting? Зайки какие.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено кек , 20-Ноя-21 14:31 
Я на хрюникс перешёл, чтобы не качать программы откуда попало, кроме Хрума отродясь не из реп не качал ничего, вы чего?)
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 14:55 
проприетарный хром сам за тебя всё скачает, нибаись
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено кек , 20-Ноя-21 15:18 
А я и нибаюсь, свабодная Мазила мне Хрум и порекомендовала
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 15:37 
А что ещё нужно, чудесный браузер сразу на твоём компе с помощью нейросеть обрабатывает твои действия и присылает в гугл уже выжимку кто ты такой и чем занимаешься. Другие браузеры пока в каменном веке и заставляют корпорации сводить данные с разных сервисов и обрабатывать эти данные на своих серверах, а это дорого.

Помоги корпорациям съэкономить деньги поставь Хром на все свои устройства.
Или ты не за экологию?

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 20-Ноя-21 18:48 
А в Go такое может быть?
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним12345 , 22-Ноя-21 15:03 
Лехко
Выполняешь команду
go get ...
и тебе закачивается куча софта, о котором ты даже знать не будешь
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноноша , 20-Ноя-21 22:18 
> yandex-yt (4183) - выводил сообщение о компрометации системы и перенаправлял на страницу с дополнительной информацией о дальнейших действиях, выдаваемой через nda.ya.ru (api.ya.cc).

Похоже, что кто-то опубликовал внутренний модуль наружу. А через nda.ya.ru оборачиваются ссылки на внутренние ресурсы.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 00:53 
> выводил сообщение о компрометации системы

скорее заведомо сломанный "плохой клон" внутреннего модуля, чтобы никто не загрузил вместо него реально вредоносный и не сломал яндекс через неудачливого питониста

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 21-Ноя-21 15:20 
> DNS-запросы вида "nu4timjagq4fimbuhe.example.com", в которых при помощи формата base64

С base64 имя может оказаться некорректным же. Видимо речь о base62.

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено pda , 21-Ноя-21 22:24 
"yiffparty" - название пакета интригует...
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 09:01 
Объясните кто-нибудь, а как такая фича вообще может работать?

> Фактически запросы отправлялись на сервер pypi.python.org (в том числе, указывая имя python.org в SNI внутри запроса HTTPS), но при этом в HTTP-заголовок "Host" выставлялось имя сервера, подконтрольного атакующим (sec.forward.io.global.prod.fastly.net). Сеть доставки контента направляла подобный запрос на сервер атакующих, используя при передаче данных параметры TLS-соединения с pypi.python.org.

Это багофича конкретной CDN или особенность http/https протокола вообще?

"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Аноним , 22-Ноя-21 11:39 
Особенность архитектуры CDN и работы конкретных прокси-серверов.
Бесплатный Varnish (который, по идее, должен обрабатывать заголовки Host) не умеет в SSL, поэтому нужен фронтовый прокси, терминирующий SSL. На котором, очевидно, в заголовки HTTP просто не лезут (хотя могли бы, на каком-нибудь HAProxy сравнение с ssl_fc_sni делается тривиально).
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено Онаним , 24-Ноя-21 01:00 
Я бы сказал это багофича типовой организации HTTP-over-SSL.
Когда SNI по факту нужен только для серта, а вся реальная обработка осуществляется уже по Host-хедеру.
"В каталоге PyPI выявлены вредоносные библиотеки, использующи..."
Отправлено ммнюмнюмус , 05-Дек-21 19:37 
Что теперь будет с пакетами, чьи сценарии ставят питон-пакеты с pypi O_o