The GitHub Blog
·
我们对更安全的npm供应链的计划
内容提要
开源软件是现代软件行业的基础，但安全性面临威胁。近期，npm注册表遭恶意攻击，维护者账户被入侵。GitHub已移除受影响包，并加强认证和发布安全，未来将实施双因素认证和短期令牌，以提升npm生态系统安全。开源社区需共同努力，确保软件供应链安全。
关键要点
-
开源软件是现代软件行业的基础，但面临安全威胁。
-
npm注册表近期遭到恶意攻击，维护者账户被入侵。
-
GitHub已移除500多个受影响的包，并加强认证和发布安全。
-
未来将实施双因素认证和短期令牌，以提升npm生态系统安全。
-
开源社区需共同努力，确保软件供应链安全。
-
GitHub将改变认证和发布选项，包括要求双因素认证和限制令牌有效期。
-
推荐使用可信发布，减少在构建系统中安全管理API令牌的需求。
-
npm维护者应立即采取行动，使用可信发布并加强账户安全设置。
-
安全生态系统的建设需要软件行业每个人的积极参与和警惕。
延伸解读
开源软件的安全挑战
开源软件的普及使其成为攻击者的目标，尤其是npm注册表的维护者账户频繁遭到入侵。这些攻击不仅影响了个别项目的安全性，还可能对整个软件供应链造成严重威胁，强调了提升安全措施的紧迫性。
双因素认证的重要性
GitHub计划实施双因素认证（2FA）以增强npm的安全性。这一措施将有效降低账户被攻击的风险，维护者应尽快启用2FA，以保护自己的账户和项目，确保软件的完整性和安全性。
可信发布的优势
可信发布作为一种新兴的安全机制，能够减少对API令牌的管理需求，降低安全风险。开源项目应尽早采用这一功能，以提高发布过程的安全性，防止恶意软件的传播。
延伸问答
npm注册表最近发生了什么安全事件？
npm注册表近期遭到恶意攻击，维护者账户被入侵，导致恶意软件通过受信任的包传播。
GitHub采取了哪些措施来应对npm的安全威胁？
GitHub立即移除了500多个受影响的包，并加强了认证和发布安全。
未来npm将如何提升安全性？
npm将实施双因素认证、短期令牌和可信发布，以增强安全性。
什么是可信发布，为什么它重要？
可信发布是一种安全能力，旨在消除在构建系统中安全管理API令牌的需求，增强软件供应链的安全性。
npm维护者应该采取哪些安全措施？
npm维护者应使用可信发布，强化账户的发布设置，并启用双因素认证。
开源社区在确保软件供应链安全方面的角色是什么？
开源社区需共同努力，积极参与和警惕，以确保软件供应链的安全。
