GitHubにおけるオープンソースサプライチェーンのセキュリティ確保

過去1年間で、オープンソースサプライチェーンへの攻撃に新たなパターンが現れています。攻撃者は、シークレット（APIキーなど）の窃取に焦点を当てています。これにより、攻撃者が制御するマシンから悪意のあるパッケージを公開すると同時に、より多くのプロジェクトにアクセス権を獲得して攻撃を拡大することが目的です。 こうした攻撃は、多くの場合GitHub Actionsのワークフローを侵害することから始まります。 本日から実施できるGitHub Actionsワークフローのセキュリティ確保策、GitHubがオープンソースのセキュリティ確保のために行ってきた取り組み、そして今後数ヶ月間に予定されているさらなるセキュリティ強化について説明します。 ### 本日から実施できること これらの攻撃の多くは、悪用可能なGitHub Actionsワークフローを探すことから始まります。 最も重要な対策は、CodeQLを有効にしてGitHub Actionsワークフローの実装をレビューすることです（パブリックリポジトリでは無料で利用可能）。これにより、ワークフローがセキュリティのベストプラクティスに従っているかを確認できます。 次に、詳細なアクションセキュリティガイドを確認してください。特に以下の点に注意が必要です： * `pull_request_target` でワークフローをトリガーしないでください。 * サードパーティのアクションは完全なコミットSHAにピン留めしてください。 * このピン留めは、あなた自身またはDependabotによって行うべきです。この内容を更新する外部のプルリクエストには注意が必要です。 * ユーザーが提出したコンテンツを参照する際のスクリプトインジェクションに注意してください。 攻撃が発生した場合、私たちは侵害された依存関係に関する情報をアドバイザリデータベースで公開します。アドバイザリデータベースから最新情報を直接取得するか、Dependabot（パブリックリポジトリでも無料）などのツールを使用して、悪意のあるまたは脆弱な依存関係が検出された際に通知を受け取ることができます。 ### 私たちが行ってきたこと これらの攻撃は同じパターンに従っています。攻撃者が制御するマシンから悪意のあるパッケージを公開するためにシークレットを窃取し、さらにその悪意のあるパッケージを使用してより多くのプロジェクトへのアクセス権を獲得し、攻撃を拡大します。 ワークフローでシークレットを使用する代わりに、ワークフローのワークロードIDを含むOpenID Connectトークンを使用してアクティビティを承認することができます。私たちは、クラウドプロバイダー、パッケージリポジトリ、その他のホスト型サービスを含む多くのシステムと連携し、この方法でActionsとの統合を進めてきました。 具体的には、GitHubはOpenSSFと提携し、パッケージリポジトリにおいて「信頼できる公開」と呼ばれるこのセキュリティ機能をサポートしています。これは現在、npm、PyPI、NuGet、RubyGems、Crates、その他のパッケージリポジトリでサポートされています。信頼できる公開は、ビルドパイプラインからシークレットを削除するだけでなく、新しく公開されたパッケージが信頼できる公開の使用を停止した際に貴重なシグナルを提供します。コミュニティはこのシグナルを用いて、そのパッケージが窃取された認証情報を使用する攻撃者由来のものかどうかを調査します。 npmは世界最大のパッケージリポジトリで、毎日3万以上のパッケージが公開されています。私たちはすべてのnpmパッケージバージョンをマルウェアについてスキャンし、攻撃の進化に合わせて検出方法を常に更新・改善しています。毎日数百の新規公開パッケージに悪意のあるコードが含まれているため、検出時には措置を講じる前に人間がレビューを行い、真陽性であることを確認します。この規模では、たとえ1%の誤検出率でも、毎日数百の正当な公開を妨害することになってしまいます。 ### 今後数ヶ月間に予想されること 2025年後半のShai-Hulud攻撃は、npmのセキュリティロードマップの見直しを促しました。これについては、「より安全なnpmサプライチェーンのための私たちの計画」と「サプライチェーンセキュリティの強化：次のマルウェアキャンペーンへの準備」で説明しています。Shai-Huludへの対応として、私たちはnpmの信頼できる公開などの機能の展開を加速し、マルウェア検出と削除の作業を継続するとともに、どのnpmセキュリティ機能が最も大きな効果をもたらすかについてオープンソースメンテナーと協議してきました。コミュニティが変更の必要性に同意した場合でも、その変更は人々のワークフローの変更を必要とし、最悪の場合、後方互換性を損なう可能性があります。私たちは可能な限りスムーズな移行を提供できるよう努めています。 同様に、最近の一連の攻撃を受けて、私たちはGitHub Actionsのセキュリティロードマップを見直し、すでに進行中のアクションセキュリティ機能の展開を加速しています。コミュニティディスカッションの投稿で、GitHub Actionsセキュリティロードマップに関するフィードバックを提供することができます。 ### 今後どう進めるか？ オープンソースは世界的な公共財であり、人類が成し遂げた最も偉大な共同プロジェクトの一つです。オープンソースへの攻撃はまだ終わっていませんが、GitHubはnpm、Actions、あるいは次に来るどんなものに対しても、それを守り抜くことを約束します。これらのセキュリティ機能を展開していくにあたり、何が最も効果的であり、より安全な未来への移行をどのように管理すべきかについて、皆様のフィードバックを心待ちにしています。 この投稿「GitHubにおけるオープンソースサプライチェーンのセキュリティ確保」は、The GitHub Blogで最初に公開されました。

GitHubにおけるオープンソースサプライチェーンのセキュリティ確保

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト