Den 13 oktober 2025, Nya livslängdsgränser för tokens (max 90 dagar, 7-dagars standard), obligatoriska granulära åtkomsttokens som ersätter gamla klassiska tokens och TOTP 2FA-begränsningar till förmån för WebAuthn. Viktiga säkerhetsändringar till npm-autentisering trädde i kraft Ändringarna anpassar sig npm med moderna säkerhetspraxis följt av AWS, Google Cloud och GitHub. Men det finns en obekväm fråga som säkerhetssamhället inte frågar tillräckligt högt: skulle något av detta ha förhindrat de attacker vi faktiskt har sett? Svaret är nej. De verkliga attackvektorerna Bara dagar före npm: s tillkännagivande, den 8 september 2025, en av de största npm-försörjningskedjeincidenterna i den senaste historien utspelade sig när populära bibliotek som debug och chalk tillsammans med 16 andra verktyg kapades och pressades till npm med skadlig kod som riktar sig till kryptovalutaplånböcker. Hur hände det? Underhållaren bekräftade att deras npm-konto blev hackat genom en mycket övertygande 2FA-återställnings-e-postmeddelande som skickades från en falsk domän (npmjs.help). Angriparen behövde inte stjäla en långvarig token. De utnyttjade inte svaga tokenbehörigheter. De skickade bara en övertygande e-post och samlade in användarnamnet, lösenordet och en levande TOTP-kod, sedan använde dessa för att helt ta över kontot och publicera skadliga versioner. De skadliga versionerna levde bara i två timmar, men under den korta 2-timmarsramen under vilken de skadliga versionerna var tillgängliga på npm nådde den skadliga koden framgångsrikt 1 av 10 molnmiljöer. Tidigare år 2024 bevittnade vi en ännu mer sofistikerad attack. XZ Utils bakdörr involverade en hotaktör som tillbringade ungefär två till tre år bygga trovärdighet som en bidragsgivare som heter Jia Tan, långsamt få underhållsansvar genom hållbar social engineering. Från och med 2022 började misstänkta socker docka konton trycka på den ursprungliga underhållaren om deras brist på hastighet i att tillämpa uppdateringar, vilket slutligen ledde till att Jia Tan beviljades underhållsstatus. Efter att ha blivit betrodd introducerade Jia Tan backdoor-kod i februari och mars 2024 som riktade sig mot XZ Utils-byggprocessen, med målet att driva backdoor-kod till stora Linux-distributioner.Denna attack tjänade en CVSS-poäng på 10,0, det högsta möjliga betyget, och upptäcktes först efter att en Microsoft-utvecklare undersökte ett 500ms latensproblem. Varken attacken involverade stulna tokens. Vad npm faktiskt fixar För att vara tydlig är npm: s förändringar inte värdelösa. Långlivade tokens är en primär vektor för supply chain-attacker, och kortare livslängder begränsar exponeringsfönstret. Övergången från TOTP till WebAuthn-baserad autentisering är verkligen bättre – passskeys är svårare att phish än engångskoder. Men dessa är hygienförbättringar, inte grundläggande säkerhetsförändringar. En angripare stjäl en token från ett CI/CD-system Token har skrivbehörighet Underhållaren märker inte i månader Angriparen använder den specifika token för att publicera skadliga paket Detta behandlar symtomen (token exponering) snarare än sjukdomen (brist på kod granskning, otillräcklig ursprung, underhållskonto säkerhet, och i grunden, lättheten med vilken skadlig kod kan publiceras). De svåra problemen npm inte löser September 2025 npm-attacken visar kärn sårbarheten: En enda kompromiss kaskaderade över ekosystemet på några timmar, vilket visar hur även en riktad phishing-attack kan rippa genom hela öppen källkodsförsörjningskedjan. Men npm: s säkerhetsrevision tar inte upp: Kontoövertagande via phishing: Septemberattacken lyckades trots att underhållaren hade 2FA aktiverat. En övertygande falsk domän (npmjs.help istället för npmjs.com) var tillräcklig. Kortare tokenliv är irrelevanta när angriparna kontrollerar själva kontot. Social engineering-attacker: XZ Utils-incidenten visade att social engineering-tekniker har mycket lägre tekniska krav för att få full tillgång till utvecklingsmiljöer än tidigare supply chain-attacker. Den skadliga koden som injiceras i de komprometterade npm-paketen var speciellt utformad för att rikta in sig på kryptovalutaplånböcker, hänga kritiska funktioner för att avlyssna webbtrafik och plånbokinteraktioner i realtid. Utvecklaren Josh Junon, allmänt känd som "qix", hade över 1 800 GitHub-bidrag under det senaste året – en betrodd, verifierad utvecklare. Ändå fick han ett e-postmeddelande för att återställa sin tvåfaktorautentisering som såg "mycket legitim", men var skadlig. Vad som egentligen skulle hjälpa Lösningarna som skulle avsevärt minska riskerna i leveranskedjan är dyra, kontroversiella och fundamentalt förändrar npm:s kärnvärdesproposition om "publicera vad som helst, omedelbart": Obligatorisk kodöversyn för högeffektiva paket: Alla paket över en tröskel för veckovisa nedladdningar bör kräva översyn för nya versioner, särskilt de som lägger till beroenden eller gör arkitektoniska ändringar. Beteendemanalys vid publiceringstid: Automatiserade system som flaggar ovanliga mönster – nya beroenden, suddig kod, nätverkssamtal till oväntade domäner, kryptovalutahuckor. Identitetsverifiering av underhållare: Verkliga identitetskrav för underhållare av allmänt använda paket.Inte pseudonymer omsorgsfullt odlade under åren, men verifierbara människor. Ursprungskrav: Obligatorisk signatur och intyg som visar inte bara vem som publicerade ett paket, utan var byggandet inträffade, från vilken källa kompromissa och med vilka beroenden. Stora versionändringar eller nya beroenden i populära paket bör utlösa ytterligare granskning, inte omedelbar publicering. NPM:s förändringar kommer att lanseras gradvis, med token livslängdsgränser som träder i kraft i början av oktober och klassiska tokens återkallas i mitten av november. Dessa förändringar anpassar NPM till branschstandarder – AWS, Google Cloud och andra plattformar flyttade till kortlivade credentials år sedan. Den obekväma sanningen npm erkänner att "säkerställa npm är ett delat ansvar" och att "dessa förändringar kan orsaka tillfällig friktion". men friktion placeras på underhållare - konstant tokenrotation, migrering till nya autentiseringsmetoder - medan de faktiska attackeringsytorna förblir till stor del obesvarade. Septemberattacken bevisade det: tusentals utvecklare kunde ha installerat skadliga paket under kompromissfönstret, och fyra timmar efter att kompromissen bekräftades tog npm ner alla versioner av de drabbade paketen. Systemet fungerade eftersom samhället upptäckte attacken snabbt och npm kunde reagera. NPM har ungefär 2 miljoner paket som underhålls av tusentals soloutvecklare, många juggling öppen källkod som ett sidoprojekt. Plattformen uppmuntrar starkt antagandet av pålitlig publicering (OIDC), vilket eliminerar långlivade tokens helt genom att använda tillfälliga, jobbspecifika credentials från CI / CD-leverantörer. Den hårda sanningen är att tokenrotation och WebAuthn-migration är synliga säkerhetsförbättringar som ser bra ut i changelog-inlägg.De tar itu med verkliga svagheter och anpassar npm till moderna säkerhetspraxis.Men de löser inte det grundläggande problemet: i ett ekosystem där vem som helst kan publicera något omedelbart är den svaga länken inte token livslångt - det är självförtroende. Tills npm kämpar med systematisk kodöversyn, beteendemässig upptäckt och verkligheten att "publicera omedelbart" står i konflikt med "publicera säkert", behandlar vi symtom medan sjukdomen sprider sig.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Det här ljudet är producerat på berättelsens originalspråk!

NPM: s nya tokengränser kommer inte att stoppa de attacker som faktiskt händer

About Author

KOMMENTARER

HÄNG TAGGAR

DENNA ARTIKEL PRESENTERAS I

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps