The GitHub Blog
·
保护GitHub上的开源供应链安全
内容提要
过去一年，开源供应链攻击模式发生变化，攻击者通过窃取API密钥等秘密发布恶意包。GitHub建议启用CodeQL审查工作流，避免在pull_request_target上触发工作流，并使用OpenID Connect令牌进行授权，同时与OpenSSF合作支持可信发布。未来将加速提升GitHub Actions的安全能力，确保开源安全。
关键要点
-
过去一年，开源供应链攻击模式发生变化，攻击者通过窃取API密钥等秘密发布恶意包。
-
攻击通常从GitHub Actions的工作流被攻破开始。
-
建议启用CodeQL审查GitHub Actions工作流，避免在pull_request_target上触发工作流。
-
使用OpenID Connect令牌进行授权，避免在工作流中使用秘密。
-
GitHub与OpenSSF合作，支持可信发布，减少构建管道中的秘密。
-
npm是全球最大的包管理库，每天发布超过30,000个包，GitHub会扫描每个npm包版本以检测恶意软件。
-
未来几个月将加速提升GitHub Actions的安全能力，并重新审视安全路线图。
-
GitHub致力于保护开源项目，期待用户反馈以改进安全措施。
延伸解读
开源供应链攻击的新趋势
近年来，开源供应链攻击模式发生了显著变化，攻击者通过窃取API密钥等秘密来发布恶意包。这种攻击方式不仅影响单个项目，还可能扩展到多个项目，造成更大范围的损害。开发者需提高警惕，定期审查和更新安全措施，以防止此类攻击。
GitHub Actions的安全建议
为了增强GitHub Actions的安全性，建议开发者启用CodeQL审查工作流，并避免在pull_request_target上触发工作流。此外，使用OpenID Connect令牌进行授权可以有效减少秘密泄露的风险。这些措施有助于保护项目免受潜在的恶意攻击。
未来的安全发展方向
GitHub计划在未来几个月内加速提升Actions的安全能力，并重新审视安全路线图。随着攻击手段的不断演变，开发者应关注GitHub发布的安全更新和建议，以确保其项目的安全性和稳定性。
延伸问答
开源供应链攻击的主要模式是什么？
攻击者通过窃取API密钥等秘密，发布恶意包并获取更多项目的访问权限。
如何保护GitHub Actions的工作流安全？
建议启用CodeQL审查工作流，避免在pull_request_target上触发工作流，并使用OpenID Connect令牌进行授权。
GitHub与哪些组织合作以增强开源安全？
GitHub与OpenSSF合作，支持可信发布，减少构建管道中的秘密。
npm包管理库的安全措施有哪些？
GitHub会扫描每个npm包版本以检测恶意软件，并在发现问题时发布信息。
未来GitHub将如何提升安全能力？
GitHub将加速提升GitHub Actions的安全能力，并重新审视安全路线图。
如何获取关于被攻击依赖项的信息？
可以通过Advisory Database获取最新信息，或使用Dependabot通知恶意或脆弱的依赖项。
