El 13 de octubre de 2025, : nuevos límites de vida útil de los tokens (máximo de 90 días, estándar de 7 días), tokens de acceso granular obligatorios que sustituyen a los tokens clásicos legados, y restricciones TOTP 2FA en favor de WebAuthn. Cambios importantes de seguridad en la autenticación npm han entrado en vigor Los cambios se alinean con las prácticas de seguridad modernas seguidas de AWS, Google Cloud y GitHub. Pero hay una pregunta incómoda que la comunidad de seguridad no está preguntando lo suficientemente fuerte: ¿algo de esto ha evitado los ataques que hemos visto realmente? La respuesta es no. Los vectores de ataque reales Justo días antes del anuncio de npm, el 8 de septiembre de 2025, uno de los mayores incidentes en la cadena de suministro de npm en la historia reciente se desarrolló cuando se secuestraron bibliotecas populares como debug y chalk junto con 16 otras utilidades y se empujó a npm con código malicioso dirigido a carteras de criptomonedas. ¿Cómo ocurrió? El mantenedor confirmó que su cuenta de npm fue pirateada a través de un correo electrónico de reset 2FA muy convincente enviado desde un dominio falso (npmjs.help). El atacante no necesitaba robar un token de larga duración. No explotaron los permisos de token débiles. Simplemente enviaron un correo electrónico convincente y recogieron el nombre de usuario, contraseña y un código TOTP en vivo, luego utilizaron estos para asumir por completo la cuenta y publicar versiones maliciosas. Las versiones maliciosas estaban en vivo durante solo dos horas, pero durante el corto período de tiempo de 2 horas en el que las versiones maliciosas estaban disponibles en npm, el código malicioso alcanzó con éxito 1 en 10 entornos en la nube. Más temprano en 2024, hemos sido testigos de un ataque aún más sofisticado. El backdoor de XZ Utils involucró a un actor de amenazas que pasó aproximadamente dos a tres años construyendo credibilidad como un colaborador llamado Jia Tan, ganando lentamente responsabilidades de mantenimiento a través de la ingeniería social sostenida. A partir de 2022, las cuentas de muñecas sospechosas comenzaron a presionar al mantenedor original por su falta de velocidad en la aplicación de actualizaciones, lo que finalmente llevó a que Jia Tan se le otorgara el estatus de mantenedor. Una vez confiado, Jia Tan introdujo el código de puerta trasera en febrero y marzo de 2024 que se dirigía al proceso de construcción de XZ Utils, con el objetivo de impulsar el código de puerta trasera a las principales distribuciones de Linux. Este ataque ganó una puntuación CVSS de 10,0, la calificación más alta posible, y sólo fue descubierto después de que un desarrollador de Microsoft investigó un problema de latencia de 500ms. Ninguno de los ataques involucró tokens robados, ni hubiera sido evitado por vidas de tokens más cortas. ¿Qué es NPM en realidad Para ser claro, los cambios de npm no son sin valor. los tokens de larga duración son un vector primario para los ataques de la cadena de suministro, y las vidas más cortas limitan la ventana de exposición. El cambio de TOTP a la autenticación basada en WebAuthn es verdaderamente mejor - los passkeys son más difíciles de phish que los códigos de una sola vez. Pero estas son mejoras de la higiene, no transformaciones fundamentales de seguridad. Un atacante roba un token de un sistema CI/CD El token tiene permisos de escritura El mantenedor no se da cuenta durante meses El atacante utiliza ese token específico para publicar paquetes maliciosos Esto trata el síntoma (exposición a tokens) en lugar de la enfermedad (falta de revisión de código, proveniencia insuficiente, seguridad de la cuenta del mantenedor y, fundamentalmente, la facilidad con la que el código malicioso puede ser publicado). Los problemas difíciles de NPM no se resuelven El ataque npm de septiembre de 2025 demuestra la vulnerabilidad principal: un único compromiso se cascó en todo el ecosistema en cuestión de horas, mostrando cómo incluso un ataque de phishing dirigido puede desplazarse a través de toda la cadena de suministro de código abierto. Sin embargo, la revisión de seguridad de npm no aborda: La adquisición de cuentas a través de phishing: El ataque de septiembre tuvo éxito a pesar de que el mantenedor tenía 2FA habilitado. Un dominio falso convincente (npmjs.help en lugar de npmjs.com) fue suficiente. Los ataques de ingeniería social: El incidente de XZ Utils demostró que las técnicas de ingeniería social tienen requisitos técnicos mucho más bajos para obtener acceso completo a los entornos de desarrollo que los ataques previos a la cadena de suministro. Detección de código malicioso: Un mantenedor legítimo con credenciales adecuadas puede publicar cualquier cosa.El código malicioso inyectado en los paquetes comprometidos de npm fue diseñado específicamente para orientarse a las carteras de criptomonedas, conectando funciones críticas para interceptar el tráfico web y las interacciones de carteras en tiempo real. El problema de la confianza del mantenedor: el código abierto se ejecuta con confianza. El desarrollador Josh Junon, comúnmente conocido como 'qix', tenía más de 1.800 contribuciones a GitHub en el último año, un desarrollador confiable y verificado. Sin embargo, recibió un correo electrónico para reiniciar su autenticación de dos factores que parecía "muy legítimo", pero era malicioso. Lo que realmente ayudará Las soluciones que reducirían sustancialmente el riesgo de la cadena de suministro son caras, controvertidas y alteran fundamentalmente la proposición de valor fundamental de npm de "publicar cualquier cosa, de inmediato": Revisión de código obligatoria para paquetes de alto impacto: Cualquier paquete por encima de un umbral de descargas semanales debe requerir una revisión para nuevas versiones, especialmente aquellas que añaden dependencias o realicen cambios arquitectónicos. Análisis de comportamiento en el momento de la publicación: Sistemas automatizados que muestran patrones inusuales: nuevas dependencias, código obstruido, llamadas de red a dominios inesperados, ganchos de billetera de criptografía. Verificación de la identidad del mantenedor: Reales requisitos de identidad para los mantenedores de paquetes ampliamente utilizados.No se cultivan cuidadosamente los pseudónimos a lo largo de los años, sino los humanos verificables. Requisitos de procedencia: firma y atestado obligatorios que muestran no sólo quién publicó un paquete, sino dónde ocurrió la construcción, de qué fuente se comprometió y con qué dependencias. Políticas de ruptura: cambios importantes en la versión o nuevas dependencias en los paquetes populares deben desencadenar una revisión adicional, no una publicación instantánea. Los cambios de npm se implementarán progresivamente, con los límites de vida útil de los tokens que entrarán en vigor a principios de octubre y los tokens clásicos revocados a mediados de noviembre. Estos cambios alinearán a npm con los estándares de la industria: AWS, Google Cloud y otras plataformas se mudaron a credenciales de corta vida hace años. La incómoda verdad npm reconoce que "asegurar npm es una responsabilidad compartida" y que "estos cambios pueden causar fricción temporal". pero la fricción está siendo colocada en los mantenedores - rotación constante de token, migración a nuevos métodos de autenticación - mientras que las superficies de ataque reales permanecen en gran medida sin abordar. El ataque de septiembre lo demostró: miles de desarrolladores podrían haber instalado paquetes maliciosos durante la ventana de compromisos, y cuatro horas después de que el compromiso se confirmó, npm derribó todas las versiones de paquetes afectados. El sistema funcionó porque la comunidad detectó el ataque rápidamente y npm podía responder. Pero la comunidad tuvo suerte con una ventana de 2 horas. npm tiene alrededor de 2 millones de paquetes mantenidos por miles de desarrolladores solistas, muchos juggando código abierto como un proyecto lateral. La plataforma alienta fuertemente la adopción de la publicación de confianza (OIDC), que elimina completamente los tokens de larga duración mediante el uso de credenciales temporales específicas del trabajo de los proveedores de CI / CD. Esto es bueno. Pero incluso con una higiene de autenticación perfecta, un mantenedor legítimo con credenciales OIDC adecuadas todavía puede publicar una puerta trasera. La dura verdad es que la rotación de token y la migración de WebAuthn son mejoras de seguridad visibles que se ven bien en los mensajes de changelog. Ellos abordan las debilidades reales y ponen npm en alineación con las prácticas de seguridad modernas. pero no resuelven el problema fundamental: en un ecosistema donde cualquiera puede publicar cualquier cosa de inmediato, el vínculo débil no es token toda la vida - es confianza en sí mismo. Hasta que NPM se enfrente a la revisión sistemática del código, la detección comportamental y la realidad de que "publicar de inmediato" se enfrenta a "publicar de forma segura", estamos tratando los síntomas mientras la enfermedad se propaga.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Este audio es producido en el idioma original de la historia!

Los nuevos límites de token de npm no detendrán los ataques que realmente ocurren

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Cómo mejorar su flujo de trabajo 10 veces: 17 aplicaciones esenciales

Una breve introducción a la teoría del cerebro de Boltzmann

Valhalla de Floki se une como patrocinador asociado de la gira de la India por Sri Lanka

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Cómo mejorar su flujo de trabajo 10 veces: 17 aplicaciones esenciales

Una breve introducción a la teoría del cerebro de Boltzmann

Valhalla de Floki se une como patrocinador asociado de la gira de la India por Sri Lanka

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps