گیت‌هاب امنیت npm را با اجباری کردن احراز هویت دو مرحله‌ای و توکن‌های دسترسی تقویت می‌کند

گیت‌هاب (GitHub) مجموعه‌ای از تدابیر دفاعی علیه حملات زنجیره تأمین (supply-chain attacks) را معرفی کرده است که اخیراً منجر به چندین حادثه بزرگ شده بود. حملات سایبری قابل توجهی که از طریق نفوذ به مخازن گیت‌هاب آغاز شده و سپس به NPM گسترش یافته‌اند، شامل حمله “s1ngularity” در اواخر اوت، کمپین “GhostAction” در اوایل سپتامبر، و کمپین کرم‌مانند “Shai-Hulud” از هفته گذشته می‌شوند. این حملات منجر به نفوذ به هزاران حساب کاربری و مخزن خصوصی، سرقت داده‌های حساس، و هزینه‌های قابل توجه بازسازی شده است.

برای کاهش این خطرات، گیت‌هاب اعلام کرد که تدریجاً اقداماتی شامل الزام احراز هویت دو مرحله‌ای (2FA) برای انتشار محلی، اجرای توکن‌های دانه‌ای با عمر ۷ روزه، گسترش انتشار مورد اعتماد (trusted publishing)، و کوتاه کردن انقضای توکن‌های انتشار را پیاده‌سازی خواهد کرد. همچنین Ruby Central نیز حاکمیت سخت‌گیرانه‌تری بر مدیر بسته‌های RubyGems اعلام کرده است تا محافظت‌های زنجیره تأمین آن را بهبود بخشد، پس از آنکه این اکوسیستم نیز از مشکلات مشابهی رنج برده بود، از جمله کمپینی با ۶۰ gem مخرب Ruby که ۲۷۵ هزار بار دانلود شده بودند.