Поэтапная публикация npm: как защититься от атак на цепочку поставок

Крупнейший реестр пакетов для Node.js внедрил механизм, который дает мейнтейнерам возможность контролировать момент появления новой версии в общем доступе. Теперь публикация может проходить в два этапа: сначала пакет попадает в очередь, а затем, после явного подтверждения автора, становится доступным для установки. Это нововведение направлено на снижение рисков компрометации пакетов и укрепление безопасности экосистемы JavaScript, которая все чаще становится целью атак на цепочку поставок.

Функция поэтапной публикации доступна начиная с npm CLI 11.15.0 и Node.js 22.14.0. Помимо этого, введены новые настраиваемые флаги разрешений, которые дают мейнтейнерам больше контроля над процессом публикации. По умолчанию функция включена для всех новых пакетов, а для существующих ее можно активировать вручную. Это решение — ответ на участившиеся инциденты с вредоносными пакетами, которые наносят ущерб тысячам проектов по всему миру.

Как работает поэтапная публикация в npm

Механика поэтапной публикации проста и интуитивно понятна. Мейнтейнер запускает команду npm publish --staged, и пакет попадает в специальную очередь. В этом состоянии версия не устанавливается в реестре как актуальная, но ее можно просмотреть и протестировать. Чтобы завершить публикацию, автор должен выполнить команду npm publish --approve или использовать интерфейс npmjs.com, подтвердив действие через двухфакторную аутентификацию (2FA).

Этот двухэтапный процесс добавляет критически важный барьер: даже если злоумышленник получит доступ к учетной записи мейнтейнера, он не сможет мгновенно опубликовать вредоносную версию — ему потребуется пройти дополнительную проверку. При этом для пакетов с включенной обязательной 2FA риск значительно снижается. Важно отметить, что поэтапная публикация не заменяет существующие механизмы безопасности, такие как подпись пакетов или проверка целостности, а дополняет их. Она дает мейнтейнерам возможность провести финальную проверку перед тем, как код станет доступен миллионам разработчиков по всему миру.

Какие команды нужно использовать для поэтапной публикации?

Для работы с поэтапной публикацией мейнтейнерам необходимо освоить несколько новых команд. Основная команда — npm publish --staged, которая отправляет версию в очередь. После этого можно просмотреть пакет в состоянии ожидания, протестировать его в изолированной среде и убедиться, что все работает корректно. Когда автор готов выпустить версию, он выполняет npm publish --approve, и только после этого пакет становится видимым для всех пользователей.

Если в процессе проверки обнаруживаются проблемы, мейнтейнер может отменить публикацию, не прибегая к npm unpublish. Это удобно, поскольку npm unpublish позволяет удалить версию только в течение 72 часов после публикации, а поэтапная публикация предотвращает сам факт появления версии в общем доступе. Таким образом, окно уязвимости сокращается до нуля, и пользователи не могут установить потенциально опасный пакет даже на короткое время.

Предыстория и контекст

Экосистема JavaScript и Node.js неоднократно сталкивалась с инцидентами, связанными с вредоносными пакетами. В 2022 году в npm были обнаружены тысячи поддельных пакетов, имитирующих популярные библиотеки, а в 2024 году атака на пакет event-stream привела к краже криптовалют у пользователей. Эти случаи подчеркивают уязвимость цепочки поставок ПО, где один скомпрометированный пакет может затронуть тысячи проектов.

npm уже внедрял меры, такие как обязательная 2FA для мейнтейнеров популярных пакетов и автоматическое сканирование на вредоносный код. Однако поэтапная публикация — это первый шаг, который дает самим мейнтейнерам инструмент для ручного контроля над выпуском. Это особенно актуально для крупных проектов, где несколько разработчиков имеют права на публикацию, и риск случайной или злонамеренной публикации высок.

Чем отличается от предыдущих версий?

Раньше процесс публикации был линейным: npm publish сразу делал версию доступной для всех. Теперь появилась возможность отложить публикацию, но при этом сохранить возможность тестирования. Фактически, это аналог механизма --dry-run, но с реальной возможностью отката и утверждения. В отличие от npm unpublish, который позволяет удалить версию только в течение 72 часов после публикации, поэтапная публикация предотвращает сам факт появления версии в общем доступе. Это снижает нагрузку на реестр и уменьшает окно уязвимости, в течение которого пользователи могут установить потенциально опасный пакет.

Кроме того, поэтапная публикация дает возможность провести более тщательное тестирование перед выпуском. Мейнтейнеры могут пригласить доверенных коллег или бета-тестеров для проверки новой версии, не опасаясь, что она случайно станет доступна широкой аудитории. Это особенно полезно для крупных библиотек, где даже небольшая ошибка может привести к серьезным последствиям для множества зависимых проектов.

Технические детали и новые флаги

Помимо поэтапной публикации, npm CLI 11.15.0 включает несколько новых флагов, расширяющих возможности контроля. Например, флаг --provenance позволяет прикреплять к пакету доказательства происхождения, подтверждающие, что пакет собран из указанного репозитория. Это помогает пользователям проверять подлинность пакета перед установкой. Также появилась возможность настраивать права доступа для публикации через файл package.json: можно указать, кто именно из мейнтейнеров имеет право запускать поэтапную публикацию и утверждение. Это особенно полезно для организаций, где требуется разделение ролей.

Важно подчеркнуть, что все новые функции полностью обратно совместимы: если мейнтейнер не использует поэтапную публикацию, его пакеты публикуются как обычно. Это позволяет внедрять новшество постепенно, без нарушения существующих рабочих процессов. Например, команда может сначала протестировать поэтапную публикацию на одном из своих пакетов, а затем, убедившись в ее эффективности, распространить практику на все остальные.

Как настроить права доступа для поэтапной публикации?

Настройка прав доступа для поэтапной публикации осуществляется через файл package.json. В разделе publishConfig можно указать, какие именно пользователи или группы имеют право запускать поэтапную публикацию и утверждение. Например, можно разрешить публикацию только определенным мейнтейнерам, а утверждение — только владельцу пакета. Это позволяет реализовать принцип разделения обязанностей и снизить риск случайной или злонамеренной публикации.

Кроме того, новые флаги разрешений позволяют настроить автоматическое утверждение для доверенных окружений. Например, если пакет публикуется из CI-системы с использованием специального токена, можно разрешить автоматическое утверждение, чтобы не задерживать процесс развертывания. Однако для этого необходимо тщательно продумать политику безопасности, чтобы не свести на нет преимущества поэтапной публикации.

Кого затронет и как

Поэтапная публикация в первую очередь важна для мейнтейнеров популярных пакетов, таких как express, lodash или react. Для них это дополнительный рубеж защиты от атак, нацеленных на их учетные записи. Но и рядовые разработчики, использующие npm, выигрывают: они получают дополнительную гарантию, что публикуемые версии прошли проверку автором.

Для организаций, которые полагаются на npm в своих CI/CD конвейерах, поэтапная публикация означает необходимость адаптации: если пакет опубликован в очередь, он не будет доступен для установки до утверждения. Это может задержать автоматические обновления, но в то же время снижает риск попадания в продакшн нежелательных версий. В России и СНГ npm является стандартом де-факто для фронтенд-разработки, поэтому нововведение затронет тысячи команд. Впрочем, для большинства разработчиков, которые не являются мейнтейнерами, изменения будут незаметны — они просто будут получать более проверенные пакеты.

Что будет дальше

npm планирует расширять функциональность поэтапной публикации. В ближайших версиях ожидается поддержка автоматического утверждения для доверенных окружений, а также интеграция с системами непрерывной интеграции, чтобы мейнтейнеры могли утверждать публикации прямо из CI. Также обсуждается возможность введения обязательной поэтапной публикации для всех пакетов с высоким уровнем доверия.

Параллельно npm продолжает работу над улучшением обнаружения вредоносных пакетов с помощью машинного обучения. Поэтапная публикация — это лишь один из элементов комплексной стратегии безопасности, которая, по словам представителей npm, будет развиваться и дальше.

Итог

Поэтапная публикация — это значимый шаг в повышении безопасности экосистемы Node.js. Она дает мейнтейнерам инструмент для ручного контроля над выпуском версий, снижая риск атак на цепочку поставок. Хотя функция требует некоторой адаптации рабочих процессов, ее внедрение — правильное решение, которое сделает npm более надежным и безопасным. Разработчикам стоит обратить внимание на новые возможности и продумать, как использовать их в своих проектах.