Чому я відмовился від VSCode і перейшов на Sublime Text

Нещо­дав­но зали­шив мак від­кри­тим і пішов по сво­їх ділах. Зві­сно всі дода­тки зали­ши­ли­ся у тому ж само­му ста­ні. Зазви­чай остан­ньою на екра­ні зали­ша­є­ться IDE VSCode – бо пра­цюю в ній. Що пішло не так?

Яке було зди­ву­ва­н­ня, коли я роз­бло­ку­вав мак та поба­чив що в IDE від­кри­то файл ~/.ssh/id_rsa, тоб­то мій при­ва­тний ключ з яким я зазви­чай роблю пуші та під­клю­ча­ю­ся по SSH.

Тут мене вхо­пи­ла пара­ноя і тро­хи помур­ку­вав­ши, зро­бив насту­пні зміни:

• зніс публі­чні клю­чі у всіх сер­ві­сах, які мають при­в’яз­ку до SSH-ключа,
• зніс роз­ши­ре­н­ня VSCode, які не використовую,
• закрив VSCode,
• зніс локаль­ний при­ва­тний та публі­чний ключі,
• зге­не­ру­вав новий ключ,
• пере­ві­рив всі мере­же­ві під­клю­че­н­ня у macOS, коман­дою lsof -i | grep -E "(LISTEN|ESTABLISHED)" | awk ‘{print $1, $8, $9}’.

Косве­ні озна­ки того, що при­чи­на саме у VSCode:

• Остан­нім часом IDE поча­ла під­ту­плю­ва­ти, фрі­зи­ти­ся, хоча до цьо­го пра­цю­ва­ла доста­тньо швидко,
• файл id_rsa був від­кри­тий саме в IDE. Аби у злов­ми­сни­ка був доступ до опе­ра­цій­ної систе­ми – пра­цю­вав би він саме через IDE? Гадаю що ні.

Чому, я вва­жаю, що VSCode – гар­ний вектор для ата­ки у зловмисників?

• VSCode має доступ до фай­ло­вої системи,
• напи­са­на на JS, тож голов­не отри­ма­ти доступ до DOM у яко­му рен­де­ри­ться IDE, що зда­є­ться, не складно,
• роз­ши­ре­н­ня напи­са­ні на JS від неві­до­мих авторів,
• IDE та роз­ши­ре­н­ня мають зале­жно­сті які роз­по­всю­джу­ю­ться через NPM.

Тоб­то доста­тньо отри­ма­ти доступ до NPM яко­гось паке­та-уті­лі­ти, який вхо­дить або в зале­жно­сті VSCode, або попу­ляр­но­го екс­тен­ше­на і злов­ми­сник факти­чно має доступ до фай­ло­вих систем вели­че­зної кіль­ко­сті про­гра­мі­стів. Далі можно дізна­ти­ся гео­ло­ка­цію кори­сту­ва­чів та роби­ти ціле­спря­мо­ва­ні атаки.

Пере­йшов до вико­ри­ста­н­ня Sublime Text

Цей реда­ктор має більш, так би мови­ти, дере­в’я­ний інтер­фейс і мень­шу кори­сту­ва­цьку базу. Але нато­мість цей реда­ктор зна­чно швид­ший. Напи­са­ний він на Python, тож маю надію, що в ньо­го немає гло­баль­но­го DOM або об’є­ктка window через котрі можно роби­ти атаки.

Думаю, що про­сто не тре­ба, як я, кла­сти всі яйця в одну кор­зи­ну – вико­ри­сто­ву­ва­ти най­по­пу­ляр­ні­ший реда­ктор-ком­байн, напи­са­ний на JS, та ста­ви­ти заба­га­то непе­ре­ві­ри­них розширень.

Все це при­пу­ще­н­ня і я, та й кожен з нас, не застра­хо­ва­ні від того щоб бути вла­ма­ним. Осо­бли­во у такий час. Бере­жіть свої данні.