Noong Oktubre 13, 2025, : mga bagong limitasyon ng buhay ng token (maximum na 90 araw, default na 7 araw), obligatory granular access tokens na bumubuo ng legacy classic tokens, at TOTP 2FA mga limitasyon para sa WebAuthn. Important na mga pagbabago sa seguridad sa npm authentication ay nagtatagumpay Ang mga pagbabago ay matatagpuan sa mga modernong pananaliksik sa seguridad na tinatawag ng AWS, Google Cloud, at GitHub. Ngunit may isang nangangailangan na tanong na ang seguridad ng komunidad ay hindi nangangahulugan: ba ang anumang ito ay nagbibigay-daan sa mga pag-atake na nakita namin? Ang solusyon ay hindi. Ang mga Real Attack Vector Lahat ng araw bago ang announcement ng npm, noong Setyembre 8, 2025, ang isa sa mga pinakamalaking npm supply chain incidents sa kasaysayan na nakaraang nagtatrabaho kapag popular na mga library tulad ng debug at chalk kasama ang 16 iba pang mga utilities ay hijacked at inilathala sa npm na may malicious code targeting cryptocurrency wallets. Paano ito natagpuan? Ang manunulat na ang kanilang account ng npm ay phishing sa pamamagitan ng isang napaka-pwede na 2FA reset email na ibinigay mula sa isang false domain (npmjs.help). Ang mga attacker ay hindi kailangang magdadala ng isang long-lived token. Hindi nila na-exploit na mga mahigpit na permissions ng token. Ang mga manunulat lamang ay nagpadala ng isang napaka-pwede email at nakuha ang username, password, at isang live TOTP code, pagkatapos ay ginagamit ang mga ito upang makakuha ng buong account at i-publish ang malicious na bersyon. Ang mga malicious na bersyon ay buhay lamang ng dalawang oras, ngunit sa panahon ng maliit na 2-hour na panahon kung saan ang malicious na bersyon ay magagamit sa npm, ang malicious na code ay lumabas sa 1 sa 10 cloud environments. Noong nakaraang taon ng 2024, nakita namin ang isang mas matinding pag-atake. Ang backdoor ng XZ Utils ay naglalaman ng isang threat actor na gumamit ng halos dalawang hanggang tatlong taon na bumuo ng credibility bilang isang contributor na tinatawag na Jia Tan, na saklaw na makakuha ng mga responsibilidad ng manunulat sa pamamagitan ng patuloy na social engineering. Mula sa 2022, ang suspek na mga account ng socks puppet ay nagsimula na mag-pressurize ang orihinal na manunulat tungkol sa kanilang mangyayari sa pag-apply ng mga update, sa katapusan nagdadala sa Jia Tan na ibinigay ng status ng manunulat. Kapag naniniwala, inilathala ni Jia Tan ang backdoor code sa Pebrero at Marso 2024 na nagtatampok sa XZ Utils build process, na nagtatampok sa pagpatay ng backdoor code sa mga pangunahing distribution ng Linux. Ang pag-atake na ito ay nakuha ng isang CVSS score ng 10.0, ang pinakamataas na posible na rating, at ito ay natagpuan lamang pagkatapos ng isang developer ng Microsoft ay nag-investigate ng isang problema ng 500ms latency. Walang pag-atake ay nagkakahalaga ng mga stolen tokens. Wala rin ay hindi itinuturing sa pamamagitan ng mas mabilis na buhay ng token. Ano ang npm ay tunay na fixing Upang maging malinaw, ang mga pagbabago ng npm ay hindi walang halaga. Long-lived tokens ay isang pangunahing vector para sa supply chain attacks, at mas mababang mga buhay ay limitado ang window ng exposure. Ang paglipat mula sa TOTP sa WebAuthn-based authentication ay talagang mas mahusay—passkeys ay mas mahirap upang phish kaysa sa one-time codes. Ngunit ito ay higit pa sa higit pa, hindi mga pangunahing pagbabago sa seguridad. Ang isang pag-atake ay nagdadala ng isang token mula sa isang sistema ng CI / CD Ang token ay may write permissions Ang manunulat ay hindi nakikita ng mga buwan Ang attacker ay gumagamit ng anumang token upang i-publish ang malicious na mga pakete Ito ay nagtatrabaho ang sintomas (token exposure) at hindi ang sakit (hindi ng review ng code, hindi sapat na provenance, security ng account ng managers, at fundamentally, ang kakayahan na may malicious code ay maaaring i-publish). Ang Hard Problems npm ay hindi solusyon Ang September 2025 npm attack demonstrates ang core vulnerability: Ang isang single compromise cascaded sa buong ecosystem sa isang kwento ng oras, na nagpapakita kung paano kahit isang targeted phishing attack ay maaaring ripple sa buong open-source supply chain. Ngunit ang security overhaul ng npm ay hindi nagtatrabaho: Ang pagkuha ng account sa pamamagitan ng phishing: Ang pag-atake ng Setyembre ay nasisiyahan kahit na ang manunulat ay may 2FA na inaktibo. Ang isang convincing fake domain (npmjs.help sa halip ng npmjs.com) ay sapat. Ang mas mababang buhay ng token ay hindi matatagpuan kapag ang mga attacker kontrolin ang account mismo. Social engineering attacks: Ang XZ Utils incident ay nagpapakita na ang mga teknolohiya ng social engineering ay may mas mababang mga teknikal na kinakailangan upang makakuha ng buong access sa development environments kaysa sa nakaraang supply chain attacks. Ang malicious code injected sa mga kompromiso npm packages ay dinisenyo para sa target cryptocurrency wallets, hooking critical function to intercept web traffic at wallet interactions sa real time. Ang problema ng trust ng mga manunulat: Open source ay gumagana sa trust. Developer Josh Junon, na kilala bilang 'qix,' ay may higit sa 1,800 GitHub kontribusyon sa nakaraang taon—a trusted, verified developer. Gayunpaman siya ay nakuha ng isang email upang i-reset ang kanyang two-factor authentication na naglalaro "magandang legitimate," ngunit ay malicious. Ano ang dapat gawin sa tulong Ang mga solusyon na maaaring malinis ang risk ng supply chain ay mahal, kontroversial, at fundamentally alter npm's core value proposition ng "publish anything, instantly": Mandatory code review para sa mga pakete ng mataas na epekto: Ang anumang pakete sa ibabaw ng isang limitasyon ng linggo na mga pag-download ay dapat nangangailangan ng review para sa mga bagong bersyon, lalo na ang mga na magdagdag ng mga dependencies o paggawa ng mga pagbabago sa architecture. Behavioral analysis sa oras ng pag-publish: Automated systems that flag unusual patterns—new dependencies, obfuscated code, network calls to unexpected domains, crypto wallet hooks. Maintainer identity verification: Real identity requirements para sa mga manunulat ng karaniwang ginagamit na mga pakete. Hindi pseudonyms carefully cultivated sa loob ng mga taon, ngunit verificable mga tao. Ang mga kinakailangan ng provenance: Mandatory signature at attestation na nagpapakita sa hindi lamang na inilathala ng isang pakete, ngunit kung saan ang build ay nangyayari, mula sa kung ano ang source commit, at sa kung ano ang dependencies. Ang mga pangunahing mga pagbabago sa bersyon o mga bagong dependencies sa mga popular na pakete ay dapat magdadala ng karagdagang pagsusuri, hindi instant publication. Ang mga pagbabago ng npm ay i-release gradually, na may mga limitasyon ng buhay ng token na nagsisimula noong unang Oktubre at ang mga klasikong token ay i-revoke sa katapusan ng Nobyembre. Ang mga pagbabago na ito ay matatagpuan sa npm sa mga patakaran sa industriya—AWS, Google Cloud, at iba pang mga platform ay lumipat sa short-lived credentials taon na ang nakalipas. ang uncomfortable truth Npm ay kilala na ang "pagkakaiba ng npm ay isang kopya ng responsibilidad" at na "ang mga pagbabago na ito ay maaaring gumawa ng temporary friction". Ngunit ang friction ay inilagay sa mga manunulat - konstant na rotation ng token, migration sa bagong mga paraan ng authentication - habang ang mga katotohanan ng pag-atake ay humihinto sa karamihan. Ang pag-atake ng Setyembre ay natuklasan ito: libu-libong developer ay maaaring mag-install ng malicious na mga pakete sa panahon ng kompromiso window, at tatlong oras pagkatapos ng kompromiso ay na-confirmed, npm na-down ang lahat ng mga bersyon ng pakete na nakakaapekto. Ang sistema ay gumagana dahil ang komunidad ay nakikita ang pag-atake mabilis at npm ay maaaring tumugon. Ngunit ang komunidad ay may kasiyahan na may isang 2-hour window. Ano ang tungkol sa isang 2-week window na may mas subtle malware? Ang npm ay may tungkol sa 2 milyong mga pakete na itinatag sa pamamagitan ng mga libu-libong solong mga developer, maraming mag-jonggling open source bilang isang side-proyekto. Ang platform ay malakas na inihahanda ang pag-adopsiyon ng trusted publishing (OIDC), na kung saan i-eliminate lang-lived tokens buong sa pamamagitan ng paggamit ng temporary, job-specific credentials mula sa CI / CD providers. Ito ay magandang. Ngunit kahit na may perfect authentication hygiene, isang legitimate managers na may parehong OIDC credentials ay maaaring patuloy na i-publish ng isang backdoor. Ang karaniwang katotohanan ay na ang rotation ng token at WebAuthn migration ay mga nakikita na pagbutihin sa seguridad na makikita na mahusay sa mga post ng changelog. Ang mga ito ay tumutulong sa mga tunay na mga kakayahan at magbigay ng npm sa alignment sa mga modernong pananaliksik sa seguridad. Ngunit hindi sila solusyon ang pangunahing problema: sa isang ecosystem kung saan ang lahat ay maaaring i-publish ang anumang bagay instantaneously, ang mababang link ay hindi token lifetime - ito ay trust itself. Habang ang npm ay nagtatrabaho sa sistematikong review ng code, behavioral detection, at ang katotohanan na "publish instantly" ay nag-conflict sa "publish safely," kami ay nagtatrabaho ng mga sintomas habang ang sakit ay lumalaki.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Ang audio na ito ay ginawa sa orihinal na wika ng kuwento!

Ang mga bagong token limitasyon ng npm ay hindi mag-atake ang mga pag-atake na tunay na nangyari

About Author

MGA KOMENTO

HANG TAGS

ANG ARTIKULONG ITO AY IPINAKITA SA

Related Stories

Encrypted Instant Messaging Recommendations January 2017

State of the Noonion: The Year of Profitability and Product Renaissance

Hosting a DNS domain on the blockchain

Getting intimate with Ethereum tokens

Encrypted Instant Messaging Recommendations January 2017

State of the Noonion: The Year of Profitability and Product Renaissance

Hosting a DNS domain on the blockchain

Getting intimate with Ethereum tokens

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps