AN NINH CHUỖI CUNG ỨNG

GitHub ra mắt các biện pháp kiểm soát mới cho npm nhằm chống lại tấn công chuỗi cung ứng

GitHub vừa triển khai các cơ chế kiểm soát mới cho hệ sinh thái npm, cho phép các nhà phát triển duy trì khả năng phê duyệt rõ ràng các bản phát hành trước khi chúng được công khai, đồng thời bổ sung các cờ bảo mật mạnh mẽ khi cài đặt gói từ các nguồn không chính thống.

Staged Publishing: Xác thực 2FA cho mọi bản phát hành

Tính năng mới mang tên Staged Publishing hiện đã sẵn sàng cho tất cả người dùng npm. Cơ chế này yêu cầu người duy trì gói (maintainer) phải vượt qua thử thách xác thực hai yếu tố (2FA) trước khi gói được đẩy lên npmjs.com.

Thay vì xuất bản trực tiếp và khiến phiên bản gói có sẵn ngay lập tức cho người dùng, tệp nén (tarball) sẽ được tải lên một hàng đợi tạm thời. Tại đây, con người phải trực tiếp phê duyệt để gói có thể cài đặt được, đảm bảo bằng chứng về sự hiện diện của nhà phát triển ngay cả trong các luồng công việc CI/CD tự động.

Kiểm soát nguồn cài đặt với các cờ mới

GitHub cũng giới thiệu ba cờ cài đặt mới để quản lý các nguồn cài đặt không nằm trong registry chính thức của npm, giúp áp dụng phương pháp danh sách trắng (allowlist) minh bạch:

--allow-file
Kiểm soát việc cài đặt từ các đường dẫn tệp cục bộ và các tệp tarball nội bộ.

--allow-remote
Quản lý việc cài đặt từ các URL từ xa, bao gồm các tệp tarball qua giao thức HTTPS.

--allow-directory
Kiểm soát việc cài đặt trực tiếp từ các thư mục cục bộ trên hệ thống.

Ứng phó với làn sóng tấn công mã độc mã nguồn mở

Động thái này diễn ra trong bối cảnh các cuộc tấn công chuỗi cung ứng nhắm vào hệ sinh thái mã nguồn mở bùng nổ mạnh mẽ. Các nhóm tội phạm mạng như TeamPCP đã liên tục đầu độc các gói phổ biến ở quy mô chưa từng thấy thông qua việc chiếm đoạt tài khoản nhà phát triển.

⚠️ HÀNH ĐỘNG KHẨN CẤP DÀNH CHO NHÀ PHÁT TRIỂN

Cập nhật npm CLI lên phiên bản 11.15.0 hoặc mới hơn để sử dụng lệnh npm stage publish.
Kích hoạt xác thực 2FA cho tất cả các tài khoản có quyền duy trì gói.
Kết hợp Staged Publishing với Trusted Publishing sử dụng OIDC để đạt mức bảo vệ tối ưu.
Sử dụng các cờ --allow mới để giới hạn nguồn cài đặt gói trong dự án.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

npm tăng cường bảo mật chuỗi cung ứng với tính năng xác thực 2FA và kiểm soát cài đặt mới