The GitHub Blog
·
我们对更安全的npm供应链的计划
💡
原文英文，约800词，阅读约需3分钟。
📝
内容提要
开源软件是现代软件行业的基础，但安全性面临威胁。近期，npm注册表遭恶意攻击，维护者账户被入侵。GitHub已移除受影响包，并加强认证和发布安全，未来将实施双因素认证和短期令牌，以提升npm生态系统安全。开源社区需共同努力，确保软件供应链安全。
🎯
关键要点
- 开源软件是现代软件行业的基础，但面临安全威胁。
- npm注册表近期遭到恶意攻击，维护者账户被入侵。
- GitHub已移除500多个受影响的包，并加强认证和发布安全。
- 未来将实施双因素认证和短期令牌，以提升npm生态系统安全。
- 开源社区需共同努力，确保软件供应链安全。
- GitHub将改变认证和发布选项，包括要求双因素认证和限制令牌有效期。
- 推荐使用可信发布，减少在构建系统中安全管理API令牌的需求。
- npm维护者应立即采取行动，使用可信发布并加强账户安全设置。
- 安全生态系统的建设需要软件行业每个人的积极参与和警惕。
❓
延伸问答
npm注册表最近发生了什么安全事件？
npm注册表近期遭到恶意攻击，维护者账户被入侵，导致恶意软件通过受信任的包传播。
GitHub采取了哪些措施来应对npm的安全威胁？
GitHub立即移除了500多个受影响的包，并加强了认证和发布安全。
未来npm将如何提升安全性？
npm将实施双因素认证、短期令牌和可信发布，以增强安全性。
什么是可信发布，为什么它重要？
可信发布是一种安全能力，旨在消除在构建系统中安全管理API令牌的需求，增强软件供应链的安全性。
npm维护者应该采取哪些安全措施？
npm维护者应使用可信发布，强化账户的发布设置，并启用双因素认证。
开源社区在确保软件供应链安全方面的角色是什么？
开源社区需共同努力，积极参与和警惕，以确保软件供应链的安全。
➡️
