最新的不一定好——预防供应链攻击
内容提要
文章讨论了供应链攻击的风险，特别是通过包管理器进行的攻击案例。提到GitHub因插件更新被入侵，并建议开发者在软件包更新时设置冷却时间以降低风险，提供了不同包管理器的冷却设置方法。
关键要点
-
GitHub因员工更新恶意代码插件而被入侵。
-
今年以来通过包管理器进行的供应链攻击案例有三起。
-
包托管平台应对新发布的包进行安全扫描，但机制尚未普及。
-
开发者可以通过设置软件包更新的冷却时间来降低风险。
-
GitHub Dependabot支持设置冷却时间，默认为7天。
-
NPM v11.10.0以上版本可以设置最小发布年龄。
-
Bundler尚未支持冷却时间，但有相关讨论。
-
VS Code可以关闭插件自动更新，Zed尚不支持此功能。
延伸解读
供应链攻击的现状
近年来，供应链攻击频发，尤其是通过包管理器进行的攻击案例不断增加。GitHub的入侵事件提醒开发者，安全问题不仅仅是代码本身，更新过程中的安全性同样重要。开发者需关注包管理器的安全性，及时了解潜在风险。
冷却时间的实用性
设置软件包更新的冷却时间是降低供应链攻击风险的有效措施。GitHub Dependabot和NPM等工具提供了相关功能，开发者应积极利用这些设置，确保在更新过程中有足够的时间进行安全审查，防止恶意代码的引入。
包管理器的安全机制
虽然包托管平台应对新发布的包进行安全扫描，但这一机制尚未普及。开发者在选择包管理器时，应关注其安全特性和更新机制，确保使用的工具能够提供必要的安全保障，降低潜在的攻击风险。
延伸问答
供应链攻击是什么？
供应链攻击是指通过包管理器等渠道，攻击者在软件包中植入恶意代码，从而影响使用该软件包的系统或应用。
GitHub是如何被入侵的？
GitHub因员工更新了被植入恶意代码的插件而遭到入侵。
如何降低软件包更新的风险？
开发者可以通过设置软件包更新的冷却时间来降低风险。
哪些包管理器支持冷却时间设置？
GitHub Dependabot和NPM v11.10.0以上版本支持冷却时间设置，Bundler尚未支持但有相关讨论。
VS Code如何处理插件更新？
VS Code可以关闭插件的自动更新功能，以降低潜在风险。
包托管平台的安全扫描机制普及情况如何？
理论上，包托管平台应对新发布的包进行安全扫描，但这一机制尚未普及。
