保护GitHub上的开源供应链安全
💡
原文英文，约800词，阅读约需3分钟。
📝
内容提要
过去一年，开源供应链攻击模式发生变化，攻击者通过窃取API密钥等秘密发布恶意包。GitHub建议启用CodeQL审查工作流，避免在pull_request_target上触发工作流，并使用OpenID Connect令牌进行授权，同时与OpenSSF合作支持可信发布。未来将加速提升GitHub Actions的安全能力，确保开源安全。
🎯
关键要点
- 过去一年，开源供应链攻击模式发生变化，攻击者通过窃取API密钥等秘密发布恶意包。
- 攻击通常从GitHub Actions的工作流被攻破开始。
- 建议启用CodeQL审查GitHub Actions工作流，避免在pull_request_target上触发工作流。
- 使用OpenID Connect令牌进行授权，避免在工作流中使用秘密。
- GitHub与OpenSSF合作，支持可信发布，减少构建管道中的秘密。
- npm是全球最大的包管理库，每天发布超过30,000个包，GitHub会扫描每个npm包版本以检测恶意软件。
- 未来几个月将加速提升GitHub Actions的安全能力，并重新审视安全路线图。
- GitHub致力于保护开源项目，期待用户反馈以改进安全措施。
❓
延伸问答
开源供应链攻击的主要模式是什么？
攻击者通过窃取API密钥等秘密，发布恶意包并获取更多项目的访问权限。
如何保护GitHub Actions的工作流安全？
建议启用CodeQL审查工作流，避免在pull_request_target上触发工作流，并使用OpenID Connect令牌进行授权。
GitHub与哪些组织合作以提升开源安全？
GitHub与OpenSSF合作，支持可信发布以减少构建管道中的秘密。
npm包管理库的安全措施有哪些？
GitHub会扫描每个npm包版本以检测恶意软件，并在发现问题后发布信息。
未来GitHub在安全方面有什么计划？
GitHub将加速提升Actions的安全能力，并重新审视安全路线图。
如何获取关于被攻击依赖项的信息？
可以通过GitHub的Advisory Database获取最新信息，或使用Dependabot通知恶意或脆弱的依赖项。
➡️
