The GitHub Blog
·
如何防范仓库劫持
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
“Repo-jacking”是一种供应链攻击，可能对开源软件产生影响。从软件包管理器获取软件依赖项可以避免直接受到repo-jacking的影响。直接从GitHub获取依赖项需要小心，可以通过锁定到特定的提交ID来解决。供应链攻击是严重问题，但通过repo-jacking实现大规模供应链攻击的机会很小。软件包管理器是最有可能的攻击向量，但除非具有维护者凭据，否则不允许使用repo-jacking上传恶意软件。
🎯
关键要点
-
Repo-jacking是一种供应链攻击，可能影响开源软件。
-
从软件包管理器获取依赖项可以避免直接受到repo-jacking的影响。
-
直接从GitHub获取依赖项时需小心，可以通过锁定特定提交ID来解决。
-
供应链攻击是严重问题，但通过repo-jacking实现大规模攻击的机会很小。
-
软件包管理器是最可能的攻击向量，除非拥有维护者凭据，否则无法上传恶意软件。
-
repo-jacking是特定类型的供应链攻击，涉及用恶意软件替换受信任的软件包。
-
GitHub使用tombstoning算法降低repo-jacking风险，永久退休特定的所有者名称和仓库名称组合。
-
重命名的仓库会自动重定向，可能增加repo-jacking的风险。
-
软件通常通过软件包管理器分发，为repo-jacking提供额外防护。
-
直接从GitHub下载软件时，需锁定特定提交ID以避免repo-jacking。
-
使用GitHub API可以检查仓库是否被重命名或替换，确保安全。
-
GitHub的tombstoning算法和软件包管理器提供额外的保护层。
-
OIDC构建来源的进展增强了供应链安全，防止repo-jacking等攻击。
-
SLSA框架促进了跨组织的供应链安全合作。
🏷️
