Blog - Supabase
·
保护您的 Supabase 项目免受 npm 供应链攻击
内容提要
近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。
关键要点
-
近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。
-
Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。
-
建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。
-
供应链攻击的常见模式包括维护者妥协、仿冒包名和构建管道妥协。
-
开发者应采取分层防御措施，包括升级包管理器、固定依赖版本、提交锁定文件、禁用安装脚本和验证包名。
-
建议在 GitHub Actions 中固定使用的提交 SHA，而不是标签，以防止潜在的代码被篡改。
-
如果怀疑暴露了凭证，应立即轮换所有相关凭证，并审计服务角色密钥的使用情况。
延伸解读
供应链攻击的常见模式
供应链攻击通常通过三种方式进行：维护者妥协、仿冒包名和构建管道妥协。了解这些模式有助于开发者识别潜在风险，并采取相应的防范措施。尤其是仿冒包名攻击，开发者在安装包时需格外小心，确保包名的准确性。
分层防御的重要性
文章强调了分层防御的必要性，单一的安全措施无法完全防止攻击。开发者应结合多种策略，如固定依赖版本、禁用不必要的安装脚本等，以提高整体安全性。这种综合防御策略能够有效降低攻击者的成功率。
GitHub Actions 的安全配置
在使用 GitHub Actions 时，建议将提交 SHA 固定，而非使用标签。这是因为标签可能会被攻击者篡改，导致不安全的代码被执行。通过固定 SHA，开发者可以确保每次运行的代码都是经过验证的，从而增强安全性。
延伸问答
npm 供应链攻击的常见模式有哪些？
常见模式包括维护者妥协、仿冒包名和构建管道妥协。
Supabase 为了增强安全性采取了哪些措施？
Supabase 发布了安全指南、强化了 GitHub Actions，并添加了安全提示。
开发者如何防止 npm 供应链攻击？
开发者应升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名。
为什么要固定依赖版本？
固定依赖版本可以防止供应链攻击利用信任关系，确保只使用经过验证的版本。
如何验证包名以防止 typosquatting？
在安装包之前，检查包的范围是否正确，维护者是否是预期的，以及下载量和 GitHub 关联是否符合预期。
如果怀疑凭证被暴露，应该怎么做？
应立即轮换所有相关凭证，并审计服务角色密钥的使用情况。
