crates.io è il registro predefinito dei pacchetti per Rust. Gli sviluppatori pubblicano librerie riutilizzabili, chiamate crate, su crates.io e altri progetti le recuperano come dipendenze. Poiché molte applicazioni includono decine o centinaia di crate, il registro è una parte critica della catena di fornitura del software Rust.
Nella sicurezza informatica, crates.io è importante perché gli attaccanti spesso prendono di mira la fiducia attorno alla pubblicazione, non solo il codice in sé. Se un attaccante ruba l'account di un manutentore, induce uno sviluppatore ad approvare una release o inserisce un aggiornamento malevolo in una crate popolare, quel codice può diffondersi rapidamente agli utenti a valle. I difensori riducono questo rischio con una forte protezione degli account, MFA resistente al phishing, un'attenta revisione delle modifiche alle dipendenze e flussi di lavoro di pubblicazione fidati che limitano il riutilizzo dei segreti. In pratica, crates.io è sia un livello di comodità sia un obiettivo di alto valore: compromettere la relazione con il registro significa poter influenzare il software da cui dipendono molti sistemi.