npm i -s चलाउँदा वास्तवमा के हुन्छ?
जब तपाईं टाइप गर्नुहुन्छ npm i -s, तपाईं केवल निर्भरता स्थापना गर्नु भन्दा बढी केहि गर्दै हुनुहुन्छ; तपाईं आफ्नो परियोजनाको आपूर्ति श्रृंखला परिमार्जन गर्दै हुनुहुन्छ। यो -s झण्डा छोटो छ -बचत गर्नुहोस्। npm i -s वा npm install –save चलाउँदा प्याकेज स्थापना हुन्छ र यसलाई मा रेकर्ड गरिन्छ। निर्भरता तपाईको खण्ड package.jsonत्यस बिन्दुबाट, चल्ने हरेक वातावरण npm स्थापना त्यही निर्भरता डाउनलोड गर्नेछ।
उदाहरण:
# Adds express to dependencies npm i -s express त्यो सुविधाजनक छ, तर यो निरन्तर पनि छ। यदि प्याकेज स्रोत प्रमाणित गरिएको छैन, वा यदि निर्भरता रूखमा अविश्वसनीय प्याकेजहरू समावेश छन् भने, तपाईं प्रभावकारी रूपमा सम्भावित आक्रमण भेक्टरमा लक गर्दै हुनुहुन्छ जुन प्रत्येक निर्माण, प्रत्येक वातावरण, र प्रत्येक विकासकर्ता मेसिन मार्फत यात्रा गर्दछ। अप्रमाणित प्याकेजहरूमा निम्न समावेश हुन सक्छन्:
- लुकेका नेटवर्क कलब्याकहरू
- डेटा एक्सफिल्ट्रेसन कोड
- स्थापना पछि स्वचालित रूपमा चल्ने स्क्रिप्टहरू
npm i -s कमाण्ड आफैंमा खतरनाक छैन, तर यसले के स्थापना गर्छ, र कहाँबाट, npm मालिसिभ प्याकेजहरूको ढोका खोल्न सक्छ जसले चुपचाप तपाईंको परियोजनालाई सम्झौता गर्दछ।
आक्रमणकारीहरूले कसरी npm को दुरुपयोग गरेर दुर्भावनापूर्ण प्याकेजहरू डेलिभर गर्छन्
आक्रमणकारीहरूलाई npm मन पर्छ किनभने यो आधुनिक अनुप्रयोग विकासको मूलमा बस्छ। प्रत्येक पटक विकासकर्ताले npm install –save चलाउँदा, यदि निर्भरता स्रोतहरू सावधानीपूर्वक प्रमाणित गरिएन भने सम्झौताको अवसर हुन्छ।
सामान्य आक्रमण भेक्टरहरू
- टाइपोस्क्वाटि: आक्रमणकारीहरूले लोकप्रिय नामहरूसँग मिल्दोजुल्दो प्याकेजहरू प्रकाशित गर्छन्। उदाहरण: स्थापना गर्दै व्यक्त सट्टामा व्यक्त npm i -s मार्फत, अतिरिक्त “s” ले ट्रोजन प्याकेज लोड गर्छ।
- निर्भरता भ्रम: जस्तै निजी निर्भरता @आन्तरिक/एपीआई-क्लाइन्ट उही नामको सार्वजनिक npm प्याकेजले छायाँमा पार्न सक्छ।
एकपटक विकासकर्ताले npm i -s @internal/api-client चलाएपछि, दुर्भावनापूर्ण सार्वजनिक संस्करण स्थापना हुन्छ। - सम्झौता गरिएका मर्मतकर्ताहरू: आक्रमणकारीहरूले वैध खाताहरू अपहरण गर्छन् वा विश्वसनीय परियोजनाहरूमा दुर्भावनापूर्ण कोड इन्जेक्ट गर्छन्, जसले गर्दा ज्ञात निर्भरतालाई संक्रमण भेक्टरमा परिणत गर्छन्।
दुर्भावनापूर्ण इंजेक्शनको उदाहरण:
❌ दुर्भावनापूर्ण निर्भरता स्निपेटको उदाहरण
postinstall: node exfiltrate-secrets.jsठूला संस्थाहरू पनि npm मालिशियस प्याकेजहरू फैलिएर प्रभावित भएका छन् standard npm स्थापना गर्नुहोस् - बचत गर्नुहोस् आदेशहरू। आक्रमणकारीहरूले विश्वास श्रृंखलाको शोषण गर्छन्, र विकासकर्ताहरूले प्रमाणपत्र वा डेटा चुहावट सुरु नभएसम्म विरलै याद गर्छन्।
स्थापना स्क्रिप्ट र स्थापना पछिको मौन खतरा Hooks – npm i -s
npm इकोसिस्टमले प्याकेजहरूलाई जीवनचक्र स्क्रिप्टहरू कार्यान्वयन गर्न अनुमति दिन्छ जस्तै स्थापित गर्नुहोस् or स्थापना पछि स्वचालित रूपमा। त्यो बाइनरीहरू निर्माण गर्न उपयोगी छ, तर यो दुरुपयोगको लागि खुला ढोका पनि हो। जब तपाईं npm i -s वा npm install –save चलाउनुहुन्छ, npm ले पुष्टिकरणको लागि सोधी बिना नै यी स्क्रिप्टहरू स्वचालित रूपमा कार्यान्वयन गर्दछ। A दुर्भावनापूर्ण निर्भरता यो व्यवहार प्रयोग गर्न सक्छ:
- प्रणाली आदेशहरू सुरु गर्नुहोस्
- स्थानीय वातावरणमा पछाडिको ढोका सिर्जना गर्नुहोस्
- SSH कुञ्जीहरू, टोकनहरू, वा वातावरण चरहरू चोरी गर्नुहोस्
उदाहरण (गैर-दुर्भावनापूर्ण तर जोखिमपूर्ण व्यवहार):
"scripts": { "postinstall": "node ./scripts/setup.js" } If सेटअप.जेएस यदि अपस्ट्रीममा प्रतिस्थापन वा परिमार्जन गरिएको छ भने, तपाईंको प्रणालीले स्थापनाको समयमा आक्रमणकारी-नियन्त्रित कोड चुपचाप कार्यान्वयन गर्न सक्छ। In CI/CD pipelines, कहाँ npm i -s निर्माणको समयमा स्वचालित रूपमा चल्छ भने, यो जोखिम बढ्छ। एउटा npm मालिसियस प्याकेजले निर्माण एजेन्टलाई सम्झौता गर्न सक्छ, वातावरणीय गोप्य कुराहरू बाहिर निकाल्न सक्छ, वा तैनाती कलाकृतिहरूसँग छेडछाड गर्न सक्छ।
npm i -s मा म्यानुअल प्याकेज समीक्षा किन पर्याप्त छैन?
विकासकर्ताहरू प्रायः विश्वास गर्छन् कि जाँच गर्दै a package.json फाइल वा रिपोजिटरीको README पढ्नाले सुरक्षा सुनिश्चित हुन्छ। तर त्यसो हुँदैन। एउटा npm install –save ले दर्जनौं, कहिलेकाहीँ सयौं, ट्रान्जिटिभ निर्भरताहरू तान्न सक्छ। प्रत्येकले तपाईंको शीर्ष-स्तर निर्भरताहरूमा देखिने बिना कमजोरीहरू वा मालिसियस कोड परिचय गराउन सक्छ।
वास्तविक-विश्व समस्या: निर्भरता फैलावट
२० वटा प्रत्यक्ष निर्भरता भएको परियोजनामा सजिलै ५००+ ट्रान्जिटिभ निर्भरताहरू हुन सक्छन्। तिनीहरूलाई म्यानुअल रूपमा समीक्षा गर्नु असम्भव छ। आक्रमणकारीहरूले रूखको गहिराइमा npm दुर्भावनापूर्ण प्याकेजहरू लुकाउन त्यो जटिलताको फाइदा उठाउँछन्।
सुरक्षित निर्भरता प्रयोगको लागि मिनी-चेकलिस्ट
- प्रयोग एनपीएम अडिट र npm ls लुकेका निर्भरताहरू पहिचान गर्न।
- npm i -s चलाउनु अघि प्याकेज लेखकत्व र अन्तिम अद्यावधिक मितिहरूको समीक्षा गर्नुहोस्।
- अप्रमाणित URL हरू वा Git रिपोहरूबाट स्थापना नगर्नुहोस्।
- शंकास्पद स्क्रिप्टहरूको लागि जाँच गर्नुहोस् (स्थापित गर्नुहोस्, तयारी गर्नुहोस्, स्थापना पछि) भित्र package.json.
- प्रयोग गरेर संस्करणहरू लक गर्नुहोस् package-lock.json र हस्ताक्षर प्रमाणिकरण सक्षम गर्नुहोस्।
म्यानुअल समीक्षा सुरुवात हो, तर वास्तविक सुरक्षाको लागि स्वचालन अनिवार्य छ।
निर्भरता स्क्यानिङ र नीति नियन्त्रणहरू एकीकृत गर्दै CI/CD
आधुनिक DevSecOps pipelines प्रत्येक npm i -s लाई npm मालिसियस प्याकेजहरूको लागि सम्भावित प्रविष्टि बिन्दुको रूपमा व्यवहार गर्नुपर्छ। निर्भरता स्क्यानिङ वैकल्पिक छैन; यो तपाईंको निर्माण स्वच्छताको अंश हो।
स्वचालन रणनीतिहरू
- स्थिर निर्भरता स्क्यानिङ: निर्माण चरणहरू अघि ज्ञात दुर्भावनापूर्ण वा कमजोर प्याकेजहरू जाँच गर्न स्वचालित स्क्यानरहरू प्रयोग गर्नुहोस्।
- हस्ताक्षर प्रमाणीकरण: ह्यास तुलना वा हस्ताक्षरित मेटाडेटा मार्फत प्याकेज अखण्डता प्रमाणित गर्नुहोस्।
- नीति प्रवर्तन: अप्रमाणित स्रोतहरूलाई स्थापना गर्नबाट रोक्नुहोस्।
उदाहरणका pipeline कन्फिगरेसन:
security-scan: script: - xygeni scan --dependencies --npm --detect-malicious - xygeni enforce --policy supplychain.yaml यसलाई तपाईंको CI/CD प्रत्येक npm स्थापना -सेभ मान्य भएको सुनिश्चित गर्दछ। कुनै पनि प्याकेज जुन नीति पूरा गर्दैन, हस्ताक्षर नगरिएको, अज्ञात, वा जोखिमपूर्ण छ, स्वचालित रूपमा अवरुद्ध हुन्छ। यसले निर्माण प्रणालीहरूलाई मात्र सुरक्षित गर्दैन तर उत्पादन वातावरणको डाउनस्ट्रीम प्रदूषणलाई पनि रोक्छ।
विश्वसनीय आपूर्ति श्रृंखला निर्माण: npm देखि उत्पादन सम्म
सुरक्षा स्थापना समयमा रोकिँदैन। प्रत्येक npm i -s आदेशले तपाईंको सफ्टवेयर आपूर्ति श्रृंखलामा योगदान पुर्याउँछ, र यदि यो प्रमाणित गरिएको छैन भने, यो जोखिम हो।
अन्त्यदेखि अन्त्यसम्म विश्वास निर्माण गर्न:
- उत्पन्न SBOMs (सफ्टवेयर बिल अफ मटेरियल): प्रत्येक प्याकेज संस्करण र स्रोत ट्र्याक गर्नुहोस्।
- हस्ताक्षरित विज्ञप्तिहरू प्रयोग गर्नुहोस्: प्रामाणिकता सुनिश्चित गर्न प्याकेजमा हस्ताक्षर वा हस्ताक्षर प्रमाणीकरण अपनाउनुहोस्।
- प्रत्येक चरणमा प्रमाणित गर्नुहोस्: CI मा मात्र नभई तैनाती र रनटाइमको समयमा पनि अखण्डता जाँचहरू लागू गर्नुहोस्।
- आइसोलेट बिल्डहरू: अनधिकृत नेटवर्क वा फाइल पहुँच रोक्नको लागि स्यान्डबक्सहरूमा स्थापनाहरू चलाउनुहोस्।
संक्रमित निर्भरताहरू मार्फत प्रायः उजागर हुने API वातावरणको लागि सुरक्षित कुकी कन्फिगरेसनको उदाहरण:
सुरक्षित संस्करण, डाउनलोड गर्नुहोस्, प्रमाणित गर्नुहोस्, त्यसपछि कार्यान्वयन गर्नुहोस्
# ✅ Secure cookie setup Set-Cookie: sessionid=abc123; HttpOnly; Secure; SameSite=Strict यी उपायहरू, स्वचालित निर्भरता स्क्यानिङसँग मिलाएर, npm मालिसिभ प्याकेजहरू तपाईंको आपूर्ति श्रृंखला मार्फत फैलिनु अघि नै तिनीहरूलाई बेअसर गर्न सक्छन्।
निष्कर्ष: तपाईंको npm स्थापनाहरू सुरक्षित गर्नुहोस् तिनीहरूले तपाईंलाई सुरक्षित गर्नु अघि
प्रत्येक npm i -s वा npm install –save कमाण्डले कार्यक्षमता मात्र होइन; यसले विश्वासको परिचय दिन्छ। र प्रमाणीकरण बिनाको विश्वास जोखिम हो।
तपाईंको सफ्टवेयर आपूर्ति श्रृंखला सुरक्षित गर्न:
- स्वचालित निर्भरता प्रमाणीकरण
- हस्ताक्षर र अखण्डता प्रमाणीकरण लागू गर्नुहोस्
- npm मालिसियस प्याकेजहरूको लागि निरन्तर स्क्यान गर्नुहोस्
- तपाईंको सुरुमा अप्रमाणित स्रोतहरूलाई रोक्नुहोस् CI/CD
जाइगेनी DevSecOps टोलीहरूलाई दुर्भावनापूर्ण npm निर्भरताहरू पत्ता लगाउन र ब्लक गर्न, प्याकेज नीतिहरू लागू गर्न, र निर्माण अखण्डता निगरानी गर्न मद्दत गर्दछ, सुनिश्चित गर्दै कि तपाईंले स्थापना गर्नुभएको कुरा ठ्याक्कै तपाईंले चलाउन चाहनुभएको कुरा हो।
किनभने आपूर्ति शृङ्खला सुरक्षामा, रोकथाम निर्माण चरण होइन; यो जग हो।
