13 жовтня 2025 року, : нові обмеження терміну служби токенів (максимум 90 днів, по умові 7 днів), обов'язкові гранулярні токени доступу, що замінюють традиційні класичні токени, і обмеження TOTP 2FA на користь WebAuthn. Важливі зміни безпеки для автентифікації npm набули чинності Зміни узгоджуються з сучасними практиками безпеки, за якими слідують AWS, Google Cloud і GitHub. Але є незручне питання, яке спільнота безпеки не задає досить гучно: чи запобігло це атакам, які ми насправді бачили? Відповідь є ні. Реальні векторні атаки Тільки за кілька днів до оголошення NPM, 8 вересня 2025 року, один з найбільших інцидентів з ланцюгами поставок NPM в недавній історії розгорівся, коли популярні бібліотеки, такі як дебуг і чагарник, разом з 16 іншими комунальними засобами, були викрадені і натиснуті на NPM з шкідливим кодом, спрямованим на гаманці криптовалюти. Як це сталося? Підтримувач підтвердив, що їхній обліковий запис NPM був фікований через дуже переконливий електронний лист 2FA, надісланий з фальшивого домену (npmjs.help). Нападник не повинен був вкрасти довгоочікуваний токен. Вони не експлуатували слабкі дозволи токенів. Вони просто відправили переконливий електронний лист і зібрали ім'я користувача, пароль і живий код TOTP, а потім використали ці, щоб повністю взяти на себе рахунок і опублікувати шкідливі версії. Зловмисні версії були живі лише протягом двох годин, проте протягом короткого 2-годинного періоду, протягом якого зловмисні версії були доступні на npm, шкідливий код успішно досяг 1 з 10 хмарних середовищ. Раніше в 2024 році ми були свідками ще більш витонченої атаки. Задві двері XZ Utils включали актора загрози, який витратив приблизно два-три роки на побудову вірогідності в якості учасника під назвою Jia Tan, поступово набуваючи відповідальності підтримувача за допомогою стійкої соціальної інженерії. Починаючи з 2022 року, підозрілі облікові записи ляльок почали чинити тиск на первісного підтримувача про їх відсутність швидкості в застосуванні оновлень, що в кінцевому підсумку призвело до того, що Jia Tan отримав статус підтримувача. Одного разу довірена, Джиа Тан запровадив код задніх дверей у лютому і березні 2024 року, який спрямований на процес побудови XZ Utils, спрямований на просування коду задніх дверей до основних дистрибутивів Linux. Ця атака отримала оцінку CVSS 10.0, найвищий можливий рейтинг, і була виявлена тільки після того, як розробник Microsoft розслідував проблему затримки 500ms. Жоден з нападів не включав в себе вкрадені токени, а також не було б запобігано більш коротким терміном життя токенів. Що NPM насправді фіксує Щоб бути зрозумілим, зміни npm не безцінні. Довговічні токени є основним вектором атак на ланцюжок поставок, а короткі терміни життя обмежують вікно експозиції. Перехід від TOTP до аутентифікації на базі WebAuthn дійсно кращий - пропускні коди важче фішувати, ніж одноразові коди. Але це поліпшення гігієни, а не фундаментальні трансформації безпеки. Нападник вкрав токен з системи CI/CD Токен має дозволи на написання Підприємець місяцями не помічає Нападник використовує цей конкретний токен для публікації шкідливих пакетів Це лікує симптом (експозиція токенів) а не хворобу (відсутність перегляду коду, недостатнє походження, безпека облікового запису менеджера і, в основному, легкість, з якою шкідливий код може бути опублікований). Важкі проблеми NPM не вирішуються Атака вересня 2025 року демонструє основну вразливість: єдиний компроміс розгорнувся по екосистемі за кілька годин, демонструючи, як навіть одна цільова атака фішингу може розповсюджуватися по всьому ланцюжку поставок з відкритим кодом. Однак перегляд безпеки npm не стосується: Закупівля облікового запису через фішинг: У вересні атака була успішною, незважаючи на те, що утримувач ввімкнув 2FA. Упевнений фальшивий домен (npmjs.help замість npmjs.com) був достатньо. Короткі терміни життя токенів не мають значення, коли нападники контролюють сам рахунок. Інцидент XZ Utils продемонстрував, що технології соціальної інженерії мають набагато нижчі технічні вимоги для отримання повного доступу до середовищ розробки, ніж попередні атаки на ланцюжок поставок. Виявлення шкідливого коду: законний підприємець з відповідними акредитаціями може опублікувати що завгодно. шкідливий код, введений в компрометовані пакети npm, був спеціально розроблений для цілей криптовалютних гаманців, прив'язуючи критичні функції для перехоплення веб-трафіку та взаємодії гаманця в реальному часі. Проблема довіри підтримувача: Відкритий код працює на довірі. Розробник Джош Юнон, широко відомий як "qix", мав понад 1800 внесків на GitHub в минулому році - надійний, перевірений розробник. Проте він отримав електронний лист, щоб відновити свою двофакторну автентифікацію, яка виглядала "дуже законною", але була шкідливою. Що насправді допоможе Рішення, які суттєво зменшать ризик ланцюга поставок, є дорогими, суперечливими і фундаментально змінюють основну цінність пропозиції npm "опублікувати що завгодно, миттєво": Обов'язковий перегляд коду для пакетів з високим впливом: будь-який пакет, що перевищує порог щотижневих завантажень, повинен вимагати перегляду для нових версій, особливо тих, які додають залежності або роблять архітектурні зміни. Аналіз поведінки під час публікації: автоматизовані системи, які знаменують незвичайні закономірності - нові залежності, затуманений код, мережеві виклики до несподіваних доменів, криптовалютні гайки. Перевірка ідентичності підтримувача: реальні вимоги до ідентичності для підтримувачів широко використовуваних пакетів.Не псевдоніми ретельно культивуються протягом багатьох років, а перевіряються люди. Вимоги походження: обов'язкове підписання та атестація, що вказує не тільки на те, хто опублікував пакет, але і на те, де відбулося створення, з якого джерела і з якими залежностями. Основні зміни версій або нові залежності в популярних пакетах повинні викликати додаткову перевірку, а не миттєву публікацію. Зміни npm будуть впроваджуватися поступово, з обмеженнями терміну служби токенів, що набувають чинності на початку жовтня, і класичними токенами, скасованими до середини листопада.Ці зміни узгоджують npm зі стандартами галузі — AWS, Google Cloud та іншими платформами перейшли на короткочасні акредитації років тому. Незручна правда npm визнає, що "забезпечення npm є спільною відповідальністю" і що "ці зміни можуть викликати тимчасове тертя". У вересні атака довів це: тисячі розробників могли встановити шкідливі пакети під час вікна компромісу, і через чотири години після підтвердження компромісу, npm скасувала всі версії пакетів, які постраждали. NPM має близько 2 мільйонів пакетів, підтримуваних тисячами сольних розробників, багато з яких джунглі відкритого коду як бічний проект. Платформа сильно заохочує прийняття надійного видавництва (OIDC), яке повністю усуває довговічні токени, використовуючи тимчасові, робочі-специфічні акредитації від провайдерів CI / CD. Це добре. Складна правда полягає в тому, що обертання токенів і міграція WebAuthn є видимими поліпшеннями безпеки, які добре виглядають в публікаціях changelog. Вони вирішують реальні слабкості і приводять npm у відповідність з сучасними практиками безпеки. Але вони не вирішують фундаментальну проблему: в екосистемі, де кожен може опублікувати що-небудь миттєво, слабкий зв'язок не є токеном на все життя - це довіра сама по собі. До тих пір, поки NPM не зіткнеться з систематичним переглядом коду, виявленням поведінки та реальністю, що "видання миттєво" конфліктує з "виданням безпечно", ми лікуємо симптоми, поки хвороба поширюється.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Це аудіо створено мовою оригіналу історії!

Нові межі токенів npm не зупинять атаки, які насправді відбуваються

About Author

КОМЕНТАРІ

ПОВІСИТИ БИРКИ

ЦЯ СТАТТЯ БУЛА ПРЕДСТАВЛЕНА В

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps