Un análisis técnico de 25 gestores de paquetes más populares revela que menos de la mitad de ellos verifican por defecto la integridad de los paquetes descargados mediante archivos de bloqueo (lockfiles) o firmas criptográficas. La investigación, realizada mediante un entorno de pruebas basado en Docker y mitmproxy, demuestra que muchos sistemas son vulnerables a ataques de cadena de suministro si un repositorio central se compromete, permitiendo la inyección de código malicioso en paquetes legítimos. Solo dos gestores, Go y vcpkg, verifican la integridad de cada paquete descargado de forma automática. El estudio destaca que, aunque la mayoría utiliza HTTPS, herramientas como cpanminus siguen conectando por HTTP no cifrado, lo que expone a los usuarios a inyecciones de malware. Además, se observa una disparidad significativa en el uso de hashes criptográficos: mientras vcpkg recalcula y verifica hashes para miles de dependencias, otros gestores como Composer, Maven o R carecen de mecanismos de verificación por defecto o requieren configuraciones complejas. Este hallazgo subraya que la seguridad en la cadena de suministro de software no es un problema de falta de conocimiento, sino de diseño deliberado y priorización de recursos en las implementaciones actuales.
Noticias agregadas con IA