LONDON (IT BOLTWISE) – GitHub hat angekündigt, seine Sicherheitsmaßnahmen für das npm-Ökosystem zu verstärken. Dies geschieht als Reaktion auf eine Reihe von Supply-Chain-Angriffen, die kürzlich aufgedeckt wurden. Zu den neuen Maßnahmen gehören die Einführung von Zwei-Faktor-Authentifizierung (2FA) und kurzlebigen Tokens, um die Sicherheit der Softwarelieferkette zu erhöhen.
Heutige Tagesdeals bei Amazon! ˗ˋˏ$ˎˊ˗
GitHub hat kürzlich eine Reihe von Sicherheitsmaßnahmen angekündigt, um die Integrität des npm-Ökosystems zu schützen. Diese Entscheidung folgt auf eine Welle von Supply-Chain-Angriffen, die die Sicherheit von npm-Paketen bedrohten. Zu den neuen Maßnahmen gehören die obligatorische Zwei-Faktor-Authentifizierung (2FA) für lokale Veröffentlichungen und die Einführung von Tokens mit einer begrenzten Lebensdauer von sieben Tagen. Diese Schritte zielen darauf ab, die Risiken durch Token-Missbrauch und selbstreplizierende Malware zu minimieren.
Ein zentraler Bestandteil der neuen Sicherheitsstrategie ist das sogenannte Trusted Publishing. Diese Methode ermöglicht es Entwicklern, npm-Pakete direkt aus CI/CD-Workflows sicher zu veröffentlichen, indem sie OpenID Connect (OIDC) verwenden. Dadurch wird die Notwendigkeit von npm-Tokens eliminiert und eine kryptografische Vertrauensbasis geschaffen, die jede Veröffentlichung mit kurzlebigen, workflow-spezifischen Anmeldeinformationen authentifiziert. Diese Anmeldeinformationen sind nicht exfiltrierbar oder wiederverwendbar, was die Sicherheit erheblich erhöht.
Die Einführung dieser Maßnahmen erfolgt in einem kritischen Moment, da kürzlich ein Angriff namens Shai-Hulud aufgedeckt wurde. Dieser Angriff injizierte einen selbstreplizierenden Wurm in Hunderte von npm-Paketen, der Entwicklerrechner nach sensiblen Geheimnissen durchsuchte und diese an einen von Angreifern kontrollierten Server übermittelte. GitHub und die Open-Source-Community reagierten schnell, um die Bedrohung einzudämmen und weitere Schäden zu verhindern.
Zusätzlich zu den Sicherheitsmaßnahmen hat GitHub angekündigt, die Unterstützung für veraltete klassische Tokens einzustellen und Benutzer auf FIDO-basierte 2FA umzustellen. Diese Änderungen sollen die Sicherheit weiter erhöhen und die Abhängigkeit von unsicheren Authentifizierungsmethoden verringern. Die Maßnahmen von GitHub unterstreichen die wachsende Bedeutung der Softwarelieferkettensicherheit in einer Zeit, in der Angriffe auf Open-Source-Ökosysteme zunehmen.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
- Krauss, Patrick(Autor)
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitHub stärkt npm-Sicherheit mit 2FA und kurzlebigen Tokens" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitHub stärkt npm-Sicherheit mit 2FA und kurzlebigen Tokens" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitHub stärkt npm-Sicherheit mit 2FA und kurzlebigen Tokens« bei Google Deutschland suchen, bei Bing oder Google News!