GitHub heeft na een reeks aanvallen, waarbij honderden npm packages van malware werden voorzien, maatregelen aangekondigd om de nmp supply chain te beveiligen. Zo komen er 'granular tokens' die maximaal zeven dagen werken, wordt tweefactorauthenticatie (2FA) voor local publishing verplicht en wordt er ingezet op Trusted publishing. Dat heeft GitHub via een blogposting aangekondigd.

Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via de npm Registry biedt het een groot archief met openbare, besloten en commerciële packages. De afgelopen weken vonden er meerdere aanvallen plaats waarbij aanvallers npm packages van malware wisten te voorzien. Dit gebeurde onder andere via phishing en het stelen van tokens die toegang tot allerlei npm packages gaven. Zo was er de "Shai-Hulud" malware die automatisch npm packages met malware infecteerde. Eenmaal geïnstalleerd zoekt de malware op het systeem van de ontwikkelaar naar tokens waarmee toegang tot andere npm-packages van de betreffende ontwikkelaar kan worden verkregen. Vervolgens voegt de malware zichzelf aan deze packages toe.

Tal van npm packages hebben te maken met zogenoemde dependencies, waarbij er van andere npm packages gebruik wordt gemaakt. Eén malafide package kan zodoende allerlei andere softwareprojecten en ontwikkelaars raken. Naar aanleiding van de recente aanvallen kondigde npm-alternatief pnmp (Performant Node Package Manager) al maatregelen aan. Zo biedt het nu een optie om nieuw uitgebrachte dependencies pas op een later moment te installeren.

Npm-eigenaar GitHub heeft nu ook verschillende maatregelen aangekondigd om de npm supply chain te beveiligen. Zo wordt voor local publishing, wat ontwikkelaars gebruiken voor de lokale ontwikkelomgeving, tweefactorauthenticatie (2FA) verplicht. Verder zal er met granular access tokens worden gewerkt. Deze tokens hebben een korte levensduur en geven beperkte toegang. In het geval van een gestolen token zou dit de impact moeten beperken. Als laatste wordt er ingezet op Trusted Publishing. Daarbij wordt gebruik gemaakt van OpenID Connect (OIDC) authenticatie voor het publiceren van packages, in plaats van "long-lived" npm tokens.

Om deze maatregelen door te voeren gaat GitHub onder andere stoppen met legacy classic tokens. Ook wordt er gestopt met time-based one-time password (TOTP) 2FA. In plaats daarvan wordt FIDO-gebaseerde 2FA verplicht. Tevens wordt de levensduur van granular tokens met publicatierechten verkort. Verder zal de optie om 2FA te omzeilen voor het lokaal publiceren van packages verdwijnen. GitHub stelt dat sommige van deze aanpassingen ervoor zorgen dat ontwikkelaars hun workflows moeten aanpassen. Het platform gaat de aanpassingen dan ook geleidelijk doorvoeren om zo de impact voor ontwikkelaars te beperken.