Pada tanggal 13 Oktober 2025, : batasan umur token baru (maksimum 90 hari, default 7 hari), token akses granular wajib menggantikan token klasik, dan batasan TOTP 2FA untuk WebAuthn. token klasik akan dibatalkan sepenuhnya pada pertengahan November. Perubahan keamanan penting untuk otentikasi npm mulai berlaku Perubahan ini sejalan dengan praktik keamanan modern yang diikuti oleh AWS, Google Cloud, dan GitHub.Tapi ada pertanyaan yang tidak nyaman yang tidak ditanyakan oleh komunitas keamanan dengan cukup keras: apakah salah satu dari ini telah mencegah serangan yang telah kita lihat? Jawabannya adalah tidak. Vektor Serangan yang Benar Hanya beberapa hari sebelum pengumuman npm, pada 8 September 2025, salah satu insiden rantai pasokan npm terbesar dalam sejarah baru-baru ini terjadi ketika perpustakaan populer seperti debug dan chalk bersama dengan 16 utilitas lainnya dicuri dan didorong ke npm dengan kode berbahaya yang menargetkan dompet cryptocurrency. Penyelenggara mengkonfirmasi bahwa akun npm mereka dicurigai melalui email reset 2FA yang sangat meyakinkan yang dikirim dari domain palsu (npmjs.help). Penyerang tidak perlu mencuri token yang bertahan lama. Mereka tidak memanfaatkan izin token yang lemah. Mereka hanya mengirim email yang meyakinkan dan mengumpulkan nama pengguna, kata sandi, dan kode TOTP langsung, kemudian menggunakan ini untuk sepenuhnya mengambil alih akun dan menerbitkan versi berbahaya. Versi berbahaya hanya hidup selama dua jam, namun selama jangka waktu 2 jam singkat di mana versi berbahaya tersedia di npm, kode berbahaya berhasil mencapai 1 dari 10 lingkungan cloud. Sebelumnya pada tahun 2024, kami menyaksikan serangan yang lebih canggih. backdoor XZ Utils melibatkan seorang pemain ancaman yang menghabiskan sekitar dua hingga tiga tahun membangun kredibilitas sebagai kontributor bernama Jia Tan, perlahan-lahan mendapatkan tanggung jawab pemelihara melalui rekayasa sosial yang berkelanjutan. Mulai tahun 2022, akun boneka sok yang dicurigai mulai menekan pemelihara asli karena kurangnya kecepatan mereka dalam menerapkan pembaruan, akhirnya menyebabkan Jia Tan diberikan status pemelihara. Setelah dipercaya, Jia Tan memperkenalkan kode backdoor pada Februari dan Maret 2024 yang menargetkan proses pembuatan XZ Utils, bertujuan untuk mendorong kode backdoor ke distribusi Linux utama. serangan ini memperoleh skor CVSS 10.0, peringkat tertinggi yang mungkin, dan hanya ditemukan setelah pengembang Microsoft menyelidiki masalah latensi 500ms. Tidak ada serangan yang melibatkan token yang dicuri, dan juga tidak akan dihindari oleh kehidupan token yang lebih pendek. Apa yang NPM Sebenarnya Fixing Untuk menjadi jelas, perubahan npm tidak tanpa nilai. token yang bertahan lama adalah vektor utama untuk serangan rantai pasokan, dan jangka hayat yang lebih pendek membatasi jendela paparan. Pergeseran dari TOTP ke otentikasi berbasis WebAuthn benar-benar lebih baik—passkeys lebih sulit untuk phish daripada kode satu kali. Tetapi ini adalah perbaikan kebersihan, bukan transformasi keamanan fundamental. mereka menangani skenario di mana: Seorang penyerang mencuri token dari sistem CI/CD Token memiliki izin menulis Penjaga tidak memperhatikan selama berbulan-bulan Penyerang menggunakan token tertentu untuk menerbitkan paket berbahaya Ini memperlakukan gejala (eksposisi token) daripada penyakit (kurangnya review kode, keturunan yang tidak mencukupi, keamanan akun pemelihara, dan pada dasarnya, kemudahan dengan mana kode berbahaya dapat dipublikasikan). Masalah yang sulit npm tidak dapat diselesaikan Serangan September 2025 npm menunjukkan kerentanan inti: Sebuah kompromi tunggal berkaskad di seluruh ekosistem dalam hitungan jam, menunjukkan bagaimana bahkan satu serangan phishing yang ditargetkan dapat menyebar ke seluruh rantai pasokan sumber terbuka. Namun revisi keamanan npm tidak menangani: Penangkapan akun melalui phishing: Serangan September berhasil meskipun pemelihara telah mengaktifkan 2FA. Domain palsu yang meyakinkan (npmjs.help bukan npmjs.com) sudah cukup. umur token yang lebih pendek tidak relevan ketika penyerang mengendalikan akun itu sendiri. Serangan insinyur sosial: Insiden XZ Utils menunjukkan bahwa teknik insinyur sosial memiliki persyaratan teknis yang jauh lebih rendah untuk mendapatkan akses penuh ke lingkungan pengembangan daripada serangan rantai pasokan sebelumnya. Deteksi kode berbahaya: Pemelihara yang sah dengan kredensial yang tepat dapat menerbitkan apa pun. kode berbahaya yang disuntikkan ke dalam paket npm yang terpengaruh secara khusus dirancang untuk menargetkan dompet cryptocurrency, menghubungkan fungsi penting untuk menangkap lalu lintas web dan interaksi dompet secara real time. Pengembang Josh Junon, yang biasa dikenal sebagai 'qix', memiliki lebih dari 1.800 kontribusi GitHub dalam setahun terakhir—sebuah pengembang yang dapat diandalkan dan terverifikasi. Apa yang sebenarnya akan membantu Solusi yang akan secara substansial mengurangi risiko rantai pasokan mahal, kontroversial, dan secara fundamental mengubah proposisi nilai inti npm "publikasikan apa pun, segera": Pemeriksaan kode wajib untuk paket yang berpengaruh tinggi: Setiap paket di atas ambang batas unduhan mingguan harus memerlukan pemeriksaan untuk versi baru, terutama yang menambahkan ketergantungan atau membuat perubahan arsitektur. Analisis perilaku pada waktu publikasi: Sistem otomatis yang menandai pola yang tidak biasa - ketergantungan baru, kode yang membingungkan, panggilan jaringan ke domain yang tidak terduga, hooks dompet kripto. Verifikasi identitas pemelihara: persyaratan identitas nyata untuk pemelihara paket yang banyak digunakan.Tidak pseudonym yang dibudidayakan dengan hati-hati selama bertahun-tahun, tetapi manusia yang dapat diperiksa. Persyaratan asal: Tanda tangan dan atestasi wajib yang menunjukkan tidak hanya siapa yang menerbitkan paket, tetapi di mana pembuatan terjadi, dari sumber apa komite, dan dengan ketergantungan apa. Kebijakan pemecahan: Perubahan versi utama atau ketergantungan baru dalam paket populer harus memicu pemeriksaan tambahan, bukan publikasi instan. Perubahan npm akan diluncurkan secara bertahap, dengan batasan umur token mulai berlaku pada awal Oktober dan token klasik dibatalkan pada pertengahan November. Perubahan ini menyesuaikan npm dengan standar industri – AWS, Google Cloud, dan platform lainnya pindah ke credentials jangka pendek beberapa tahun yang lalu. Kebenaran yang tidak nyaman npm mengakui bahwa "menjamin npm adalah tanggung jawab bersama" dan bahwa "perubahan-perubahan ini dapat menyebabkan gesekan sementara". tetapi gesekan sedang ditempatkan pada pemelihara - rotasi token konstan, migrasi ke metode otentikasi baru - sementara permukaan serangan sebenarnya tetap sebagian besar tidak ditangani. Serangan September membuktikannya: ribuan pengembang mungkin telah menginstal paket berbahaya selama jendela kompromi, dan empat jam setelah kompromi dikonfirmasi, npm menurunkan semua versi paket yang terkena dampak. sistem bekerja karena komunitas mendeteksi serangan dengan cepat dan npm dapat merespon. NPM memiliki sekitar 2 juta paket yang dipelihara oleh ribuan pengembang solo, banyak yang bermain open source sebagai proyek sampingan. Platform ini sangat mendorong adopsi publishing terpercaya (OIDC), yang sepenuhnya menghilangkan token yang bertahan lama dengan menggunakan credentials sementara, khusus pekerjaan dari penyedia CI / CD. Ini bagus. tetapi bahkan dengan kebersihan otentikasi yang sempurna, pengelola yang sah dengan credentials OIDC yang tepat masih dapat menerbitkan backdoor. Kebenaran yang sulit adalah bahwa rotasi token dan migrasi WebAuthn adalah perbaikan keamanan yang terlihat bagus dalam posting changelog. Mereka mengatasi kelemahan nyata dan membawa npm ke arah praktik keamanan modern. tetapi mereka tidak memecahkan masalah mendasar: dalam ekosistem di mana siapa pun dapat menerbitkan apa pun segera, link lemah tidak menjadi token seumur hidup - itu adalah kepercayaan diri sendiri. Sampai npm berjuang dengan review kode sistematis, deteksi perilaku, dan realitas bahwa "publikasikan segera" berkonflik dengan "publikasikan dengan aman," kita merawat gejala saat penyakit menyebar.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Audio ini diproduksi dalam bahasa asli cerita!

Batas Token Baru NPM Tidak Akan Menghentikan Serangan yang Sebenarnya Terjadi

About Author

KOMENTAR

HANG TAG

ARTIKEL INI DISAJIKAN PADA

Related Stories

19 things I learnt reading the NodeJSdocs

Stocks will be More Profitable than Crypto - Interview With Bryan Applegate

NIGHT (continued)

Building an API-Powered Platform

19 things I learnt reading the NodeJSdocs

Stocks will be More Profitable than Crypto - Interview With Bryan Applegate

NIGHT (continued)

Building an API-Powered Platform

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps