AN NINH CHUỖI CUNG ỨNG

npm Bổ Sung Xác Thực 2FA Khi Phát Hành Và Kiểm Soát Cài Đặt Để Chống Tấn Công Chuỗi Cung Ứng

GitHub vừa triển khai các biện pháp kiểm soát mới cho npm nhằm nâng cao bảo mật chuỗi cung ứng phần mềm, cho phép các nhà duy trì (maintainers) phê duyệt bản phát hành một cách rõ ràng thông qua xác thực đa yếu tố trước khi các gói phần mềm được công khai rộng rãi.

Tính năng Staged Publishing (Phát hành theo giai đoạn)

Tính năng này yêu cầu người duy trì gói phải vượt qua thử thách xác thực hai yếu tố (2FA) để phê duyệt một gói trước khi nó chính thức có mặt trên registry của npmjs.com.

Quy trình phê duyệt thủ công: Thay vì phát hành trực tiếp, bản tarball được tải lên hàng đợi chờ phê duyệt. Điều này ngăn chặn việc mã độc tự động bị đẩy lên hệ thống khi tài khoản bị chiếm quyền.

Xác nhận hiện diện: Đảm bảo "bằng chứng về sự hiện diện" của con người cho mọi lần phát hành, bao gồm cả từ các quy trình CI/CD tự động sử dụng OpenID Connect (OIDC).

Kiểm soát nguồn cài đặt với các cờ (Flags) mới

Ngoài cờ --allow-git hiện có, npm bổ sung 3 cờ mới để áp dụng cách tiếp cận "danh sách cho phép" (allowlist) nghiêm ngặt đối với mọi nguồn cài đặt không thuộc registry chính thức:

--allow-file: Kiểm soát cài đặt từ đường dẫn tệp cục bộ và các tệp nén tarball cục bộ.
--allow-remote: Kiểm soát cài đặt từ các URL từ xa, bao gồm cả các tệp tarball qua giao thức HTTPS.
--allow-directory: Kiểm soát cài đặt trực tiếp từ các thư mục nằm trên máy cục bộ.

HÀNH ĐỘNG KHẨN CẤP CHO LẬP TRÌNH VIÊN

Trong bối cảnh các cuộc tấn công chuỗi cung ứng nhắm vào mã nguồn mở tăng mạnh, TMGS khuyến nghị đội ngũ kỹ thuật thực hiện các bước sau:

Cập nhật ngay: Nâng cấp npm CLI lên phiên bản 11.15.0 hoặc mới hơn để hỗ trợ các tính năng bảo mật mới.
Sử dụng lệnh mới: Chuyển sang sử dụng lệnh npm stage publish từ thư mục gốc của gói để kích hoạt cơ chế phê duyệt 2FA.
Bật 2FA: Đảm bảo tài khoản duy trì gói đã được kích hoạt xác thực hai yếu tố và xem xét kết hợp với Trusted Publishing.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

npm thắt chặt an ninh: Bổ sung xác thực 2FA khi phát hành Package và kiểm soát cài đặt