[Перевод] Проверили 25 менеджеров пакетов на подмену кода взломанным репозиторием: целостность каждого пакета проверяют только два

Инженер Trail of Bits поднял стенд на Docker и mitmproxy, подставил вредоносный код в ответы «взломанного» репозитория и прогнал 25 популярных менеджеров пакетов. Только Go и vcpkg проверяют целостность каждого пакета по умолчанию, подписи по умолчанию проверяет один Go. Что делают npm, pip, Cargo, Maven, NuGet, Composer и остальные, где хеш в lock-файле ничего не защищает и какую схему предлагает автор.