How RubyGems.org protects OSS infrastructure
Как RubyGems.org защищает инфраструктуру сообщества
RubyGems.org применяет многослойную защиту:
- Автоматика – каждый gem сканируется статическими и динамическими анализаторами (инструменты Mend.io, созданные мейнтейнером Maciej Mensfeld).
- Оценка риска – высоко-рисковые пакеты переходят на ручную проверку.
- Ретро-скан – старые версии перепроверяются при улучшении детекторов.
- Внешние источники – данные от партнёров и других реестров.
Таким образом 70–80 % вредоносных пакетов ловят до публикации.
Что происходит после флага
Инженер безопасности подтверждает вредоносность (≈ 5 % оказываются ложными срабатываниями), затем gem удаляется, действия логируются, а похожие имена блокируются.
Инцидент Socket.dev
- 20 июля 2025 – система отметила подозрительные гемы, подтверждена кража учётных данных.
- 23–28 июля – удалены почти все пакеты и аккаунты.
- 7 августа – после публикации Socket.dev удалили ещё 16 связанных гемов.
Всего убрали все пакеты злоумышленника; популярные библиотеки не пострадали.
Сообщество
Сообщайте о проблемах: security@rubygems.org или Slack Bundler. Команда быстро реагирует и благодарит за помощь.
Реальность безопасности цепочки поставок
В среднем еженедельно удаляется один вредоносный или спам-пакет. Работа ресурсоёмка и держится на спонсорах (Mend.io, Alpha-Omega) и волонтёрах. Поддержите RubyGems через RubyGems Supporter Program.
Инцидент показал: системы сработали, угроза была локализована. Безопасность OSS – общее дело.