Redazione RHC : 24 septiembre 2025 07:16
GitHub ha anunciado cambios importantes en su sistema de autenticación y publicación npm para reforzar la protección contra ataques a la cadena de suministro. Estas actualizaciones fueron impulsadas por la reciente campaña Shai-Hulud , un gusano malicioso autopropagador incrustado en cientos de bibliotecas npm. No solo se replicaba en otros paquetes, sino que también escaneaba los dispositivos de los desarrolladores en busca de datos confidenciales, como claves y tokens, y los transmitía a los atacantes.
En respuesta al incidente, GitHub anunció que pronto eliminaría los mecanismos de permisos heredados e introduciría controles más estrictos.
Los cambios clave incluyen la autenticación de dos factores obligatoria para la publicación local y la adopción de tokens de corta duración con una validez máxima de siete días. Además, la compañía promoverá activamente el uso de Trusted Publishing, un sistema basado en el protocolo OpenID Connect que permite la publicación directa de paquetes desde CI/CD sin necesidad de un token.
La Publicación Confiable crea un vínculo criptográficamente verificable entre un paquete publicado y su entorno de compilación. La interfaz de línea de comandos de npm genera y adjunta automáticamente una prueba de autenticidad a la versión, lo que permite a cualquier usuario verificar dónde y bajo qué condiciones se compiló el paquete. Esta solución busca aumentar la transparencia y la confianza en los proveedores de componentes de software.
La transición al nuevo sistema incluirá los siguientes cambios:
Según GitHub, esto debería reducir drásticamente la capacidad de los atacantes de apoderarse de la infraestructura de NPM a través de tokens falsificados o robados, especialmente dada la escala del ataque Shai-Hulud.
El punto de inflexión fue un malware recientemente descubierto, capaz no solo de replicarse, sino también de robar diversos tipos de secretos, yendo mucho más allá de comprometer un solo ecosistema. La compañía enfatiza que sin la intervención y respuesta oportunas de la comunidad, las consecuencias podrían haber sido mucho más graves.
El nuevo modelo de entrega tiene como objetivo reducir la dependencia de los tokens como único punto de falla y aumentar el nivel de verificación de cada acción de colocación de paquetes.
Estas medidas representan no sólo una respuesta a un ataque específico, sino también una revisión estratégica de todo el sistema de seguridad, basada en los principios de minimización de privilegios y verificación criptográfica.
RedazioneLos ladrones entraron por una ventana del segundo piso del Museo del Louvre, pero el museo tenía problemas que iban más allá de las ventanas sin asegurar, según un informe de auditoría de ciberse...
Reuters informó que Trump declaró a la prensa durante una entrevista pregrabada para el programa «60 Minutes» de CBS y a bordo del Air Force One durante el vuelo de regreso: «No vamos a permitir ...
Un informe de FortiGuard correspondiente al primer semestre de 2025 muestra que los atacantes motivados por intereses económicos están evitando cada vez más las vulnerabilidades y el malware sofist...
La primera computadora cuántica atómica de China ha alcanzado un importante hito comercial al registrar sus primeras ventas a clientes nacionales e internacionales, según medios estatales. El Hubei...
El director ejecutivo de NVIDIA, Jen-Hsun Huang, supervisa directamente a 36 empleados en siete áreas clave: estrategia, hardware, software, inteligencia artificial, relaciones públicas, redes y asi...
