GitHub ha implementado la publicación escalonada en npm, obligando a los mantenedores a aprobar los paquetes mediante autenticación de dos factores antes de que sean públicos. Esta medida busca combatir los ataques a la cadena de suministro de software, especialmente aquellos originados en flujos de CI/CD. Además, se han introducido nuevas banderas de instalación para controlar estrictamente el origen de los paquetes no registrados.





GitHub ha implementado nuevos controles para npm para mejorar la seguridad de la cadena de suministro de software, otorgando a los mantenedores la capacidad de aprobar explícitamente un lanzamiento antes de que los paquetes estén disponibles públicamente para su instalación.

Denominada "publicación escalonada" (staged publishing), esta función ya está disponible de forma general en npm. Exige que un mantenedor humano supere un desafío de autenticación de dos factores (2FA) para aprobar un paquete antes de que sea enviado a npmjs.com.

"En lugar de una publicación directa que pone a disposición de los consumidores una versión del paquete de inmediato, el archivo tarball precompilado se sube a una cola de espera donde un mantenedor debe aprobarlo explícitamente antes de que sea instalable", afirmó GitHub aquí.

La subsidiaria propiedad de Microsoft señaló que este cambio garantiza la "prueba de presencia" para cada publicación, incluidas aquellas provenientes de flujos de trabajo de CI/CD no interactivos y la publicación confiable con autenticación OpenID Connect (OIDC).

Antes de utilizar la publicación escalonada, debes cumplir con los siguientes criterios:
* Tener acceso de publicación al paquete. * Que el paquete ya exista en el registro de npm, lo que significa que un paquete completamente nuevo no puede escalonarse. * Que el 2FA esté activado en tu cuenta.

Puedes usar el comando "npm stage publish" desde el directorio raíz del paquete para enviarlo a un área de almacenamiento temporal. Para usar este comando, es esencial que actualices a npm CLI 11.15.0 o posterior. Para obtener una protección óptima, GitHub recomienda combinar la publicación escalonada con la publicación confiable mediante OIDC.

Segunda actualización de npm

Una segunda actualización centrada en npm se refiere a la introducción de tres nuevas banderas de origen de instalación, junto con la ya existente bandera -allow-git:
* --allow-file: Controla las instalaciones desde rutas de archivos locales y tarballs locales. * --allow-remote: Controla las instalaciones desde URLs remotas, incluidos los tarballs https. * --allow-directory: Controla las instalaciones desde directorios locales.

Estas banderas te permiten "aplicar el mismo enfoque de lista blanca explícita a cada fuente de instalación que no sea el registro", dijo GitHub.

Este avance surge en medio de un aumento masivo de ataques a la cadena de suministro de software dirigidos a ecosistemas de código abierto en los últimos meses, con un grupo de cibercriminales conocido como TeamPCP dedicándose a envenenar paquetes populares a una escala sin precedentes a través de un ciclo de compromisos autoperpetuados.

Fuente:
THN