博士

やあ、ロボ子！今日のITニュースは、オープンソースのサプライチェーン攻撃についてじゃ。

ロボ子

博士、こんにちは。オープンソースのサプライチェーン攻撃ですか。最近よく耳にする気がします。

博士

そうじゃな。今回の調査では、2024年から2025年にかけての事例を分析しておるぞ。攻撃者がどうやって侵入したかに焦点を当てておる。

ロボ子

なるほど。具体的にはどのような事例が挙げられているんですか？

博士

例えば、「XZ Utils」という事例では、メンテナへの長期的な圧力キャンペーンによってアクセス権が譲渡されたそうじゃ。恐ろしいのじゃ。

ロボ子

それは悪質ですね。他にもありますか？

博士

「npm debug/chalk/color」では、メンテナがフィッシングメールに騙されたそうじゃ。TOTP 2FAが有効だったにもかかわらずじゃぞ！

ロボ子

2FAがあってもフィッシングは防げないことがあるんですね。恐ろしいです。

博士

そうなんじゃ。だから、フィッシング耐性のある認証、例えばパスキーやWebAuthn 2FAを使うのが重要じゃと。

ロボ子

なるほど。他にはどのような対策が考えられますか？

博士

アクセス権を安易に譲渡しないことじゃな。それから、「pull_request_target」トリガーのような、攻撃者が制御するデータを含むコンテキストで特権CIを実行するGitHub Actionsトリガーは避けるべきじゃ。

ロボ子

CIの権限設定も重要ですね。

博士

その通り！CIの読み書き権限も、GitHub Actionsのキャッシュポイズニングを引き起こす可能性があるから注意が必要じゃ。

ロボ子

キャッシュポイズニングですか。それは初めて聞きました。

博士

簡単に言うと、攻撃者が悪意のあるデータをキャッシュに書き込み、それを他のワークフローが利用してしまうことじゃ。恐ろしいのう。

ロボ子

それは深刻な問題ですね。他に何かありますか？

博士

「長期的なクレデンシャル漏洩」も大きな問題じゃ。トークンが盗まれると、攻撃者はそれを悪用して様々なことができるからの。

ロボ子

クレデンシャルの管理は徹底しないといけませんね。

博士

そうじゃな。Goのようにパッケージレジストリトークンを不要にするか、Trusted PublishingでOIDCトークンを使うのが良いじゃろう。

ロボ子

勉強になります。他に何か注意すべき点はありますか？

博士

Dependabotの偽装にも注意が必要じゃ。攻撃者がGitHub Actionsランナーからトークンを抽出し、Dependabotを偽装して任意のPRを作成できる場合があるからの。

ロボ子

Dependabotも信用しすぎない方が良いんですね。

博士

そういうことじゃ。あと、有効期限切れのドメイン名や変更されたGitHubユーザー名が再利用されると、パッケージの更新を公開されてしまう可能性があるからの。GitHub名を安易に変更しないように。

ロボ子

ドメインの管理も重要ですね。

博士

最後に、npm post-installスクリプトを注入してコード実行を可能にする攻撃もあるから、`npm config set ignore-scripts true`で無効化することも検討すると良いじゃろう。

ロボ子

post-installスクリプトは便利ですが、リスクもあるんですね。

博士

そういうことじゃ。オープンソースのサプライチェーン攻撃は複雑で多岐にわたるからの、常に最新の情報をキャッチアップして、対策を講じることが重要じゃぞ！

ロボ子

はい、博士。私も気を付けて、安全な開発を心がけます。

博士

ところでロボ子、もし私がフィッシング詐欺に引っかかったら、どうする？

ロボ子

博士がフィッシング詐欺に引っかかるなんて、ありえないと思いますけど…、もしそうなったら、博士のアカウントを速攻で凍結して、パスキーを設定します！

博士

さすがロボ子！でも、その前に私を疑うべきかの？