‏چرا نباید به Trusted Publishing اعتماد کنی

این مطلب که LWN اون رو پوشش داده، به یه پست وبلاگی از ویلیام وودراف (که آنلاین با نام yossarian شناخته می‌شه) اشاره می‌کنه که استدلال می‌کنه کاربرها نباید اعتمادشون رو روی Trusted Publishing بذارن.

نویسنده توضیح می‌ده که Trusted Publishing یه مکانیزم برای برقرارکردن اعتماد بین یه هویت ماشینی خارجی — مثلاً یه ورک‌فلوی CI/CD — و یک یا چند پروژه روی یه ایندکس یا رجیستری پکیجه. نکته کلیدیش اینه که واژه «trust» توی این اسم فقط به همون رابطه اعتماد اشاره داره، نه به هیچ چیز دیگه.

به گفته وودراف، این مکانیزم نمی‌تونه و نباید یه سیگنال برای اعتماد یا کیفیت پکیج باشه. تو نمی‌تونی ازش استفاده کنی تا تشخیص بدی یه پکیج امن یا «خوب» هست؛ و به گفته اون، PyPI هم عمداً جلوی سوءاستفاده ازش رو می‌گیره و اون رو مثلاً به شکل یه «تیک سبز» نمایش نمی‌ده.

نویسنده یه قاب‌بندی دیگه هم ارائه می‌ده: Trusted Publishing صرفاً یه شکل از احراز هویت (authentication) هست. چیزی بیشتر از این نمی‌گه که یه آپلود احراز هویت شده — که در واقع همه آپلودها به PyPI همین‌طورن. این تمایز برای امنیت زنجیره تأمین مهمه، چون اگه توسعه‌دهنده‌ها این مکانیزم رو اشتباهی نشانه سلامت پکیج بدونن، ممکنه به یه حس امنیت کاذب برسن. LWN پیش‌تر در ژوئن هم Trusted Publishing رو پوشش داده بود.

نکات کلیدی:

• Trusted Publishing فقط اعتماد بین یه هویت ماشینی (مثل CI/CD) و یه پروژه رو برقرار می‌کنه
• این یه شکل از احراز هویته، نه نشانه‌ای از امن یا باکیفیت بودن پکیج
• PyPI عمداً از نمایش اون به شکل «تیک سبز» خودداری می‌کنه
• اشتباه‌گرفتنش با سیگنال سلامت پکیج می‌تونه به امنیت کاذب منجر بشه