GitHub усилил защиту npm и Actions: новые меры против атак цепочки поставок

Что изменилось?

GitHub опубликовал обзор обновлений, выпущенных за последние несколько месяцев, которые делают npm‑реестр и GitHub Actions менее уязвимыми для атак цепочки поставок. Ключевые нововведения:

• Подпись пакетов npm – обязательная поддержка npm‑подписей (npm v10) и автоматическая проверка подписи при установке зависимостей.
• Provenance для Actions – каждый workflow теперь сохраняет цепочку происхождения артефактов, что позволяет проверять, откуда пришёл код и кто его создал.
• Ужесточение токенов – токены GitHub Actions теперь по‑умолчанию ограничены только необходимыми правами (least‑privilege), а использование GITHUB_TOKEN в публичных репозиториях требует явного разрешения.
• Автоматический сканинг зависимостей – встроенный Dependency Graph и Dependabot теперь ранжируют уязвимости по уровню риска и автоматически создают pull‑request’ы с патчами.
• Контроль публикаций – введён механизм «publish‑approval», позволяющий владельцам пакетов одобрять публикацию новых версий через проверку подписи и CI‑статуса.

Почему это важно?

Эти меры снижают вероятность того, что злоумышленник сможет подменить зависимости или внедрить вредоносный код в workflow. GitHub также улучшил уведомления о подозрительных действиях и предоставил более прозрачные логи для расследования инцидентов.

Где подробнее?

Полный список изменений и инструкции по миграции доступны в блоге GitHub: https://github.blog/security/supply-chain-security/disrupting-supply-chain-attacks-on-npm-and-github-actions/