GitHub усиливает безопасность npm с помощью обязательной двухфакторной аутентификации и токенов доступа

[admin]

GitHub представляет комплекс мер защиты от атак на цепочку поставок на платформе, которые недавно привели к нескольким масштабным инцидентам.


Известные кибератаки, которые начались с компрометации репозиториев GitHub, а затем распространились на NPM, включают атаку « s1ngularity » в конце августа, кампанию « GhostAction » в начале сентября и кампанию в стиле червя, получившую название « Shai-Hulud », начатую на прошлой неделе.


Атаки привели к компрометации тысяч учетных записей и частных репозиториев, краже конфиденциальных данных и значительным затратам на устранение последствий.

Хотя GitHub быстро отреагировал, чтобы минимизировать последствия этих инцидентов, платформа для разработчиков признает, что более активные превентивные меры были бы более эффективными.


Чтобы снизить эти риски, GitHub объявил о постепенном внедрении следующих мер:

• Требовать двухфакторную аутентификацию (2FA) для локальной публикации.
• Внедрение гранулярных токенов со сроком действия 7 дней.
• Расширять и поощрять внедрение проверенных издательских систем .
• Отменить поддержку классических токенов и TOTP 2FA (переход на 2FA на базе FIDO).
• Сократить срок действия токенов публикации.
• Доступ к публикации по умолчанию для запрета токенов.
• Удалить возможность обхода 2FA для локальной публикации.

Настоятельно рекомендуется использовать доверенную публикацию, уже принятую во многих экосистемах, поскольку она устраняет необходимость управления токенами API в системах сборки.


Разработчикам NPM рекомендуется немедленно перейти на доверенную публикацию, а также принудительно применять 2FA для публикации и написания сообщений и использовать WebAuth вместо одноразовых паролей с ограниченным сроком действия (TOTP) для 2FA.


Платформа для размещения кода и совместной работы будет постепенно внедрять эти изменения и предоставлять необходимую документацию и руководства по миграции, чтобы свести к минимуму перебои в существующих рабочих процессах.


В заявлении также подчеркивается, что безопасность экосистемы является коллективной обязанностью, и ожидается, что разработчики самостоятельно примут меры по снижению рисков в цепочке поставок, используя лучшие возможности безопасности, доступные на платформе.


Ruby Central также объявила об ужесточении управления менеджером пакетов RubyGems для улучшения защиты своей цепочки поставок.


Недавно эта экосистема столкнулась с похожими проблемами, такими как кампания с 60 вредоносными элементами Ruby , которые были загружены 275 000 раз, и еще одна кампания, связанная с тайпсквоттингом проекта Fastlane для Telegram.

До завершения разработки новой модели управления и основных политик доступ администратора будет только у сотрудников Ruby Central.

В заявлении обещается переход к более прозрачной модели, ориентированной на сообщество. Ожидается, что сессия вопросов и ответов, запланированная на сегодня, развеет опасения, связанные с внезапными действиями, которые многие члены сообщества Ruby охарактеризовали как грубое поглощение.