Kas īsti notiek, palaižot npm i-s
Kad rakstāt npm i-s, jūs darāt kaut ko vairāk nekā tikai atkarības instalēšanu; jūs modificējat sava projekta piegādes ķēdi. The -s karogs ir saīsinājums no –SaglabātIzpildot komandu npm i -s vai npm install –save, tiek instalēta pakotne un ierakstīta failā atkarību sadaļa jūsu pack.jsonKopš tā brīža katra vide, kas darbojas npm instalēt lejupielādēs to pašu atkarību.
Piemērs:
Tas ir ērti, bet arī noturīgi. Ja pakotnes avots nav pārbaudīts vai atkarību kokā ir iekļautas neuzticamas pakotnes, jūs faktiski ieslēdzat potenciālu uzbrukuma vektoru, kas izplatās katrā versijā, katrā vidē un katrā izstrādātāja datorā. Nepārbaudītās pakotnēs var būt:
- Slēptie tīkla atzvani
- Datu eksfiltrācijas kods
- Pēcinstalēšanas skripti, kas darbojas automātiski
Komanda npm i -s pati par sevi nav bīstama, taču tas, ko tā instalē un no kurienes tā var pavērt durvis ļaunprātīgām npm pakotnēm, kas nemanāmi apdraud jūsu projektu.
Kā uzbrucēji izmanto npm, lai piegādātu ļaunprātīgas pakotnes
Uzbrucēji iecienījuši npm, jo tas ir mūsdienu lietojumprogrammu izstrādes pamatā. Katru reizi, kad izstrādātājs palaiž npm install –save, pastāv iespēja kompromisam, ja atkarību avoti netiek rūpīgi pārbaudīti.
Bieži uzbrukuma vektori
- Pareizrakstība: Uzbrucēji publicē pakotnes ar nosaukumiem, kas ir līdzīgi populāru pakotņu nosaukumiem. Piemērs: instalēšana izteikt vietā izteikt Izmantojot npm i -s, papildu “s” ielādē Trojas zirga pakotni.
- Atkarības apjukums: Privāta atkarība, piemēram @internal/api-client var tikt aizēnota ar tāda paša nosaukuma publisku npm pakotni.
Kad izstrādātājs palaiž npm i -s @internal/api-client, tā vietā tiek instalēta ļaunprātīgā publiskā versija. - Apdraudēti uzturētāji: Uzbrucēji nolaupa likumīgus kontus vai ievada ļaunprātīgu kodu uzticamos projektos, pārvēršot zināmu atkarību par infekcijas vektoru.
Ļaunprātīgas injekcijas piemērs:
❌ Ļaunprātīgas atkarības fragmenta piemērs
Pat lielas organizācijas ir cietušas no npm ļaunprātīgajām pakotnēm, kas izplatās standard npm instalēšana – saglabāt komandas. Uzbrucēji izmanto uzticības ķēdi, un izstrādātāji to reti pamana, kamēr nesākas akreditācijas datu vai datu noplūde.
Instalēšanas skriptu un pēcinstalēšanas klusais drauds Hooks – npm i-s
npm ekosistēma ļauj pakotnēm izpildīt dzīves cikla skriptus, piemēram, uzstādīt or pēc instalēšanas automātiski. Tas ir noderīgi bināro failu veidošanai, taču tas ir arī paver iespējas ļaunprātīgai izmantošanai. Palaižot komandu npm i -s vai npm install –save, npm automātiski izpilda šos skriptus, neprasot apstiprinājumu. ļaunprātīga atkarība var izmantot šo uzvedību, lai:
- Palaist sistēmas komandas
- Izveidojiet aizmugurējās durvis lokālajā vidē
- Nozagt SSH atslēgas, žetonus vai vides mainīgos
Piemērs (neļaunprātīga, bet riskanta rīcība):
If setup.js tiek aizstāts vai modificēts augšupējā līmenī, jūsu sistēma instalēšanas laikā varētu klusi izpildīt uzbrucēja kontrolētu kodu. In CI/CD pipelines, kur npm i-s Ja tas darbojas automātiski būvēšanas laikā, šis risks pieaug. Viena ļaunprātīga pakotne ar npm var apdraudēt būvēšanas aģentu, izgūt vides noslēpumus vai manipulēt ar izvietošanas artefaktiem.
Kāpēc manuāla pakotņu pārskatīšana nav pietiekama, izmantojot npm i-s
Izstrādātāji bieži uzskata, ka, pārbaudot a pack.json faila lasīšana vai repozitorija README nolasīšana garantē drošību. Tas to nedara. Viena npm instalēšanas komanda “save” var izgūt desmitiem, dažreiz simtiem, tranzitīvu atkarību. Katra no tām var radīt ievainojamības vai ļaunprātīgu kodu, kas nav redzams jūsu augstākā līmeņa atkarībās.
Reālās pasaules problēma: atkarības izplatība
Projekts ar 20 tiešām atkarībām var viegli beigties ar vairāk nekā 500 tranzitīvām atkarībām. Manuāla to pārskatīšana nav iespējama. Uzbrucēji izmanto šo sarežģītību, lai paslēptu npm ļaunprātīgas paketes dziļi kokā.
Mini kontrolsaraksts drošākai atkarības lietošanai
- lietošana npm audits un npm ls lai identificētu slēptās atkarības.
- Pirms npm i -s palaišanas pārskatiet pakotnes autorību un pēdējās atjaunināšanas datumus.
- Izvairieties no instalēšanas no nepārbaudītiem URL vai Git repozitorijiem.
- Pārbaudiet aizdomīgus skriptus (uzstādīt, sagatavot, pēc instalēšanas) iekšā pack.json.
- Bloķēt versijas, izmantojot pack-lock.json un iespējojiet paraksta verifikāciju.
Manuāla pārskatīšana ir sākums, taču reālai aizsardzībai automatizācija ir obligāta.
Atkarību skenēšanas un politikas kontroles integrēšana CI/CD
Modern DevSecOps pipelines Katrs npm i-s ir jāuzskata par potenciālu npm ļaunprātīgu pakotņu ieejas punktu. Atkarību skenēšana nav neobligāta; tā ir daļa no jūsu būvēšanas higiēnas.
Automatizācijas stratēģijas
- Statiskā atkarības skenēšana: Pirms būvēšanas posmu veikšanas izmantojiet automatizētus skenerus, lai pārbaudītu, vai nav zināmu ļaunprātīgu vai ievainojamu pakotņu.
- Paraksta pārbaude: Pārbaudiet pakotnes integritāti, izmantojot jaucējkodu salīdzināšanu vai parakstītus metadatus.
- Politikas īstenošana: Neļaujiet instalēt nepārbaudītus avotus.
Piemērs pipeline konfigurācija:
Integrējot šo savā CI/CD nodrošina, ka katra npm instalēšanas saglabāšanas darbība tiek validēta. Jebkura pakotne, kas neatbilst politikai, ir neparakstīta, nezināma vai riskanta, tiek automātiski bloķēta. Tas ne tikai aizsargā būvēšanas sistēmas, bet arī novērš ražošanas vides piesārņojumu.
Uzticamas piegādes ķēdes veidošana: no npm līdz ražošanai
Drošība nebeidzas ar instalēšanas laiku. Katra npm i -s komanda veicina jūsu programmatūras piegādes ķēdi, un, ja tā netiek pārbaudīta, tā rada risku.
Lai veidotu uzticību no sākuma līdz beigām:
- Radīt SBOMs (programmatūras materiālu saraksts): Izsekojiet katru pakotnes versiju un avotu.
- Izmantojiet parakstītas atļaujas: Lai nodrošinātu autentiskumu, izmantojiet pakotnes parakstīšanu vai paraksta verifikāciju.
- Validēt katrā posmā: Veiciet integritātes pārbaudes ne tikai CI, bet arī izvietošanas un izpildes laikā.
- Izolētas versijas: Veiciet instalācijas smilškastēs, lai novērstu nesankcionētu piekļuvi tīklam vai failiem.
Drošas sīkfailu konfigurācijas piemērs API vidēm, kas bieži tiek atklātas, izmantojot inficētas atkarības:
Droša versija, lejupielāde, pārbaude un pēc tam izpilde
Šie pasākumi apvienojumā ar automatizētu atkarību skenēšanu var neitralizēt npm ļaunprātīgās pakotnes, pirms tās izplatās jūsu piegādes ķēdē.
Secinājums: nodrošiniet savas npm instalācijas, pirms tās nodrošina jūs
Katra npm i -s vai npm install –save komanda ievieš ne tikai funkcionalitāti; tā ievieš uzticēšanos. Un uzticēšanās bez verifikācijas ir risks.
Lai aizsargātu programmatūras piegādes ķēdi:
- Automatizēt atkarību validāciju
- Ieviest parakstīšanu un integritātes pārbaudi
- Nepārtraukti skenēt, lai atrastu npm ļaunprātīgas pakotnes
- Bloķējiet nepārbaudītus avotus jau agrīnā stadijā CI/CD
Ksigēni palīdz DevSecOps komandām atklāt un bloķēt ļaunprātīgas npm atkarības, ieviest pakotņu politikas un uzraudzīt būvējuma integritāti, nodrošinot, ka instalētais ir tieši tas, ko plānojat palaist.
Jo piegādes ķēdes drošībā profilakse nav būvniecības solis, bet gan pamats.
