El mundo del desarrollo de software open source se enfrenta constantemente a desafíos de seguridad. Recientemente, la comunidad npm se vio sacudida por un ataque sofisticado que puso en jaque la integridad de la cadena de suministro. GitHub, responsable de npm, ha respondido con un plan ambicioso para reforzar la seguridad y proteger a los desarrolladores de futuras amenazas.
El ataque ‘Shai-Hulud’: Un despertar a la realidad
El 14 de septiembre de 2025, la comunidad npm se vio afectada por un ataque de un gusano auto-replicante bautizado como ‘Shai-Hulud’. Este malware se infiltró a través de cuentas de mantenedores comprometidas, inyectando código malicioso en paquetes JavaScript populares. La gravedad de este ataque residía en su capacidad para robar secretos (no solo tokens de npm) y auto-replicarse, lo que podría haber desencadenado una cascada de incidentes.
La respuesta de GitHub fue inmediata y contundente:
- Eliminación de más de 500 paquetes comprometidos del registro npm.
- Bloqueo de la carga de nuevos paquetes que contuvieran los Indicadores de Compromiso (IoCs) del malware.
Este incidente puso de manifiesto la necesidad urgente de elevar los estándares de autenticación y las prácticas de publicación segura en el ecosistema npm.
GitHub toma cartas en el asunto: Roadmap para una publicación de paquetes más segura
GitHub ha delineado una serie de cambios significativos en la forma en que se publican los paquetes en npm, centrándose en la autenticación y la seguridad de los tokens.
Las principales medidas incluyen:
- Publicación local con autenticación de dos factores (2FA) obligatoria: Se requerirá 2FA para publicar paquetes localmente.
- Tokens granulares con duración limitada: Los tokens tendrán una validez máxima de siete días.
- ‘Trusted publishing’: Fomentar el uso de la publicación confiable.
Para respaldar estos cambios, GitHub también:
- Deprecará los tokens clásicos heredados.
- Deprecará la 2FA basada en contraseñas de un solo uso basadas en tiempo (TOTP), migrando a los usuarios a 2FA basada en FIDO.
- Limitará aún más la duración de los tokens granulares con permisos de publicación.
- Establecerá el acceso de publicación para denegar los tokens de forma predeterminada, fomentando el uso de editores confiables o la publicación local con 2FA obligatoria.
- Eliminará la opción de omitir la 2FA para la publicación local de paquetes.
- Ampliará los proveedores elegibles para la publicación confiable.
Estos cambios, aunque necesarios, pueden requerir ajustes en los flujos de trabajo de los desarrolladores. GitHub se compromete a implementar estos cambios de forma gradual, minimizando las interrupciones y proporcionando la documentación y el soporte necesarios.
‘Trusted Publishing’: La clave para un ecosistema más seguro
El ‘Trusted Publishing’ (Publicación Confidada) es una capacidad de seguridad recomendada por el OpenSSF (Open Source Security Foundation) que elimina la necesidad de administrar de forma segura un token de API en el sistema de construcción. Esta práctica, implementada inicialmente por PyPI, ha sido adoptada por otros gestores de paquetes como RubyGems, crates.io, npm y NuGet.
GitHub anima encarecidamente a los proyectos a adoptar el ‘Trusted Publishing’ lo antes posible para todos los gestores de paquetes compatibles.
¿Qué pueden hacer los mantenedores de npm hoy mismo?
La seguridad del ecosistema es una responsabilidad compartida. Aquí hay algunas acciones que los mantenedores de npm pueden tomar de inmediato:
- Utilizar ‘npm trusted publishing’ en lugar de tokens.
- Reforzar la configuración de publicación en cuentas, organizaciones y paquetes para requerir 2FA para cualquier acción de escritura y publicación.
- Al configurar la autenticación de dos factores, utilizar WebAuthn en lugar de TOTP.
Conclusión: Un futuro más seguro para npm
Los cambios anunciados por GitHub representan un paso importante hacia un ecosistema npm más seguro y resiliente. Si bien estos cambios pueden requerir ajustes en los flujos de trabajo, son esenciales para proteger la cadena de suministro de software de las crecientes amenazas. La colaboración y la adopción de prácticas de seguridad robustas son fundamentales para construir un futuro más seguro para el desarrollo open source.
Fuente: GitHub Blog
Leave a Comment