proto.lib

Dependency Confusion & Typosquatting

Build được cấu hình đọc cả registry nội bộ lẫn registry công khai và chọn phiên bản cao nhất; kẻ tấn công publish lên registry công khai một package trùng TÊN nội bộ nhưng version cao hơn, khiến resolver kéo bản độc hại về và chạy install script ngay trong CI với secrets của bạn. Nhấn ▶ để bắt đầu.

SecurityTrung bình2026-08-21
Dependency Confusion & Typosquatting

Tags

#dependency-confusion#typosquatting#supply-chain#npm#registry#ci-cd

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityCơ bản

Lockfile là hàng rào cung ứng: integrity, npm ci và audit PR

package-lock.json không chỉ ghi số phiên bản mà còn ghi resolved URL và integrity hash sha512 của từng tarball; npm ci từ chối cài khi lệch lock, còn reviewer cần soi resolved URL lạ và chặn script cài đặt tuỳ tiện để đóng các đường tiêm mã qua chuỗi cung ứng npm.

#npm#lockfile#supply-chain#integrity-hash
SecurityTrung bình

Trusted Publishing: Xoá bỏ Long-lived Token khi Publish Package

Thay vì lưu API token dài hạn của maintainer trong CI — thứ đã bị đánh cắp trong hầu hết vụ compromise chuỗi cung ứng package — registry tin vào một identity token ngắn hạn do chính CI provider phát hành cho đúng repo và workflow, đồng thời ghi lại provenance của bản build kèm artefact.

#trusted-publishing#oidc#supply-chain#ci-cd
SecurityNâng cao

Poisoned Pipeline Execution (PPE)

CI là một hệ thống production nắm giữ credentials thật; một pull request từ fork kích hoạt workflow có quyền truy cập secrets cho phép kẻ tấn công chạy code tuỳ ý NHƯ CHÍNH pipeline của bạn, bằng cách sửa build script trong PR hoặc đầu độc build cache/artifact mà job tin cậy sau đó sẽ dùng lại.

#ci-cd#poisoned-pipeline#supply-chain#github-actions