Redazione RHC : 24 septiembre 2025 07:16
GitHub ha anunciado cambios importantes en su sistema de autenticación y publicación npm para reforzar la protección contra ataques a la cadena de suministro. Estas actualizaciones fueron impulsadas por la reciente campaña Shai-Hulud , un gusano malicioso autopropagador incrustado en cientos de bibliotecas npm. No solo se replicaba en otros paquetes, sino que también escaneaba los dispositivos de los desarrolladores en busca de datos confidenciales, como claves y tokens, y los transmitía a los atacantes.
En respuesta al incidente, GitHub anunció que pronto eliminaría los mecanismos de permisos heredados e introduciría controles más estrictos.
Los cambios clave incluyen la autenticación de dos factores obligatoria para la publicación local y la adopción de tokens de corta duración con una validez máxima de siete días. Además, la compañía promoverá activamente el uso de Trusted Publishing, un sistema basado en el protocolo OpenID Connect que permite la publicación directa de paquetes desde CI/CD sin necesidad de un token.
La Publicación Confiable crea un vínculo criptográficamente verificable entre un paquete publicado y su entorno de compilación. La interfaz de línea de comandos de npm genera y adjunta automáticamente una prueba de autenticidad a la versión, lo que permite a cualquier usuario verificar dónde y bajo qué condiciones se compiló el paquete. Esta solución busca aumentar la transparencia y la confianza en los proveedores de componentes de software.
La transición al nuevo sistema incluirá los siguientes cambios:
Según GitHub, esto debería reducir drásticamente la capacidad de los atacantes de apoderarse de la infraestructura de NPM a través de tokens falsificados o robados, especialmente dada la escala del ataque Shai-Hulud.
El punto de inflexión fue un malware recientemente descubierto, capaz no solo de replicarse, sino también de robar diversos tipos de secretos, yendo mucho más allá de comprometer un solo ecosistema. La compañía enfatiza que sin la intervención y respuesta oportunas de la comunidad, las consecuencias podrían haber sido mucho más graves.
El nuevo modelo de entrega tiene como objetivo reducir la dependencia de los tokens como único punto de falla y aumentar el nivel de verificación de cada acción de colocación de paquetes.
Estas medidas representan no sólo una respuesta a un ataque específico, sino también una revisión estratégica de todo el sistema de seguridad, basada en los principios de minimización de privilegios y verificación criptográfica.
RedazioneEl otro día, en LinkedIn, me encontré conversando con alguien muy interesado en el tema de la inteligencia artificial aplicada al derecho. No fue una de esas conversaciones de bar con palabras de mo...
En su última actualización, el gigante tecnológico corrigió 175 vulnerabilidades que afectaban a sus productos principales y sistemas subyacentes, incluyendo dos vulnerabilidades de día cero expl...
Ivanti ha publicado 13 vulnerabilidades en su software Endpoint Manager (EPM) , incluidas dos fallas de alta gravedad que podrían permitir la ejecución remota de código y la escalada de privilegios...
Los analistas de Sophos descubrieron una compleja operación de malware realizada por expertos en seguridad que utiliza el popular servicio de mensajería WhatsApp para propagar troyanos bancarios, ap...
Se ha identificado una vulnerabilidad crítica en la arquitectura de seguridad de hardware AMD SEV-SNP, que afecta a los principales proveedores de servicios en la nube (AWS, Microsoft Azure y Google ...
