Bảo mật chuỗi cung ứng

GitHub Tăng Cường Bảo Mật npm Với Xác Thực 2FA Và Kiểm Soát Cài Đặt

Trong nỗ lực ngăn chặn làn sóng tấn công chuỗi cung ứng phần mềm, GitHub đã triển khai các biện pháp kiểm soát mới cho npm, cho phép các nhà duy trì phê duyệt rõ ràng một bản phát hành trước khi nó có sẵn cho cộng đồng.

Tính năng Staged Publishing (Xuất bản theo giai đoạn)

Tính năng mới được gọi là Staged Publishing, yêu cầu một con người thực (nhà duy trì gói) phải vượt qua thử thách xác thực hai yếu tố (2FA) để phê duyệt gói trước khi nó được đẩy lên npmjs.com.

Thay vì xuất bản trực tiếp khiến phiên bản mới khả dụng ngay lập tức, tệp tarball được tải lên một hàng đợi chờ (stage queue). Tại đây, nhà duy trì phải xác nhận thủ công thì gói mới có thể được cài đặt bởi người dùng cuối. Điều này đảm bảo "bằng chứng hiện diện" cho mọi lần xuất bản, bao gồm cả những lần đến từ quy trình CI/CD tự động.

Yêu cầu để sử dụng Staged Publishing

Để kích hoạt cơ chế bảo mật này, các nhà phát triển cần đáp ứng các tiêu chuẩn sau:

Quyền truy cập: Tài khoản phải có quyền xuất bản gói đó.

Gói hiện hữu: Gói phải đã tồn tại trên npm registry (không áp dụng cho gói mới hoàn toàn).

Kích hoạt 2FA: Tài khoản nhà phát triển bắt buộc phải bật xác thực hai yếu tố.

Các cờ kiểm soát nguồn cài đặt mới

Bên cạnh việc xuất bản, GitHub cũng giới thiệu ba cờ (flags) mới để kiểm soát các nguồn cài đặt không nằm trong registry chính thức:

--allow-file: Kiểm soát cài đặt từ các đường dẫn tệp cục bộ và tệp tarball nội bộ.
--allow-remote: Kiểm soát cài đặt từ các URL từ xa (ví dụ: https tarballs).
--allow-directory: Kiểm soát cài đặt từ các thư mục cục bộ.

Hành động khẩn cấp cho nhà phát triển

Trong bối cảnh các nhóm tội phạm mạng như TeamPCP đang gia tăng đầu độc các gói mã nguồn mở, TMGS khuyến nghị:

Cập nhật npm CLI lên phiên bản 11.15.0 hoặc mới hơn.
Sử dụng lệnh npm stage publish để đưa gói vào khu vực chờ.
Kết hợp Staged Publishing với Trusted Publishing sử dụng xác thực OIDC để đạt mức độ bảo vệ tối ưu nhất.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

npm Triển Khai Cơ Chế Phê Duyệt 2FA Để Ngăn Chặn Tấn Công Chuỗi Cung Ứng