npm 12 Menonaktifkan Skrip Penginstalan secara Default untuk Mengurangi Risiko Rantai Pasokan

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan alat dan strategi keamanan siber. GitHub telah secara resmi mengumumkan peluncuran npm versi 12 dengan skrip instalasi dinonaktifkan secara default, bersama dengan penghentian token akses granular (GAT) yang…

GitHub telah secara resmi mengumumkan peluncuran npm versi 12 dengan skrip instalasi dinonaktifkan secara default, bersama dengan penghentian token akses granular (GAT) yang dirancang untuk melewati otentikasi dua faktor (2FA).

Anak perusahaan milik Microsoft mencatat bahwa perilaku instalasi npm berikut yang dulunya berjalan secara otomatis sebelumnya telah dijadikan ikut serta -

AllowScripts secara default tidak aktif, yang berarti skrip siklus hidup ketergantungan (yaitu, prainstal, instal, pascainstal) dan build node-gyp implisit tidak lagi berjalan kecuali diizinkan secara eksplisit.

Perlu dicatat bahwa perubahan ini telah dipratinjau bulan lalu, dengan GitHub merekomendasikan pengembang untuk meningkatkan ke npm 11. 16. 0 atau lebih baru, menjalankan perintah instal normal, dan meninjau peringatan yang ditampilkan.

npm GAT tidak lagi memiliki kemampuan untuk mempublikasikan secara langsung. Permukaan penerbitan mereka akan terbatas pada membaca paket pribadi dan melakukan publikasi, di mana sebuah paket hanya menjadi publik setelah persetujuan 2FA manusia.

"Manfaat keamanannya adalah kredensial dan host miliknya bepergian bersama, dan pnpm membaca _auth hanya dari lingkungan atau konfigurasi global, tidak pernah dari file proyek," jelas Socket.

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan alat dan strategi keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari thehackernews. com