npm Доверенная публикация с OIDC теперь доступна — более безопасная публикация CI/CD для пакетов JavaScript

Основное обновление

npm (через платформу GitHub/npm) сделал "Доверенную публикацию" с OpenID Connect (OIDC) общедоступной. CI-системы теперь могут публиковать пакеты без встраивания долгоживущих токенов npm: вы настраиваете свой реестр на прием краткоживущих OIDC-утверждений из конкретных рабочих процессов GitHub Actions/GitLab CI или других OIDC-совместимых исполнителей, и реестр выдает временные учетные данные для публикации для этого выполнения рабочего процесса.

Почему это важно

Это одно из самых практичных улучшений безопасности цепочки поставок JavaScript на уровне развертывания за последние годы. Долгоживущие токены автоматизации часто становятся коренной причиной утечек секретов CI/CD или когда злоумышленники переходят от скомпрометированного исполнителя к публикации пакетов; переход на OIDC устраняет эту постоянную учетную запись из ваших конвейеров и делает автоматическую публикацию гораздо сложнее для злоупотребления. Для команд разработчиков и инженеров платформы немедленные, высокоценные действия легко спланировать и с низким уровнем трения протестировать: мигрировать задания публикации на рабочие процессы с поддержкой OIDC, обновить настройки публикации пакетов/организаций, чтобы доверять только этим рабочим процессам, вращать и убирать существующие токены npm, используемые только CI, и поддерживать обязательную двухфакторную аутентификацию (2FA) для действий публикации людьми. Это уменьшает радиус поражения украденных учетных данных CI и дополняет другие средства защиты (SBOM, sigstore/Sigstore происхождение, сканирование секретов и строгие политики 2FA) — но это не устраняет необходимость защищать учетные записи поддерживающих и защищаться от фишинга. Если вы публикуете пакеты из CI, приоритизируйте поэтапную миграцию в следующем спринте: преобразуйте один конвейер в OIDC, проверьте происхождение артефактов и автоматические публикации, затем удалите токен из вашего хранилища секретов и повторите для оставшихся конвейеров.

Источник

• Источник