Trail of Bits: лишь 2 из 25 пакетных менеджеров проверяют целостность всех загрузок

Trail of Bits протестировала 25 популярных пакетных менеджеров, имитируя компрометацию репозитория через mitmproxy. Только Go и vcpkg по умолчанию проверяли целостность каждого скачанного пакета, а подписи по умолчанию проверял лишь Go.

• Только Go и vcpkg проверяли целостность всех пакетов по умолчанию
• Менее половины менеджеров использовали lockfile для проверки по умолчанию
• Подписи по умолчанию проверял только Go
• Bun, Cargo, npm, pnpm, uv и Yarn проверяют целостность только при наличии lockfile