Redazione RHC : 24 septiembre 2025 07:16
GitHub ha anunciado cambios importantes en su sistema de autenticación y publicación npm para reforzar la protección contra ataques a la cadena de suministro. Estas actualizaciones fueron impulsadas por la reciente campaña Shai-Hulud , un gusano malicioso autopropagador incrustado en cientos de bibliotecas npm. No solo se replicaba en otros paquetes, sino que también escaneaba los dispositivos de los desarrolladores en busca de datos confidenciales, como claves y tokens, y los transmitía a los atacantes.
En respuesta al incidente, GitHub anunció que pronto eliminaría los mecanismos de permisos heredados e introduciría controles más estrictos.
Los cambios clave incluyen la autenticación de dos factores obligatoria para la publicación local y la adopción de tokens de corta duración con una validez máxima de siete días. Además, la compañía promoverá activamente el uso de Trusted Publishing, un sistema basado en el protocolo OpenID Connect que permite la publicación directa de paquetes desde CI/CD sin necesidad de un token.
La Publicación Confiable crea un vínculo criptográficamente verificable entre un paquete publicado y su entorno de compilación. La interfaz de línea de comandos de npm genera y adjunta automáticamente una prueba de autenticidad a la versión, lo que permite a cualquier usuario verificar dónde y bajo qué condiciones se compiló el paquete. Esta solución busca aumentar la transparencia y la confianza en los proveedores de componentes de software.
La transición al nuevo sistema incluirá los siguientes cambios:
Según GitHub, esto debería reducir drásticamente la capacidad de los atacantes de apoderarse de la infraestructura de NPM a través de tokens falsificados o robados, especialmente dada la escala del ataque Shai-Hulud.
El punto de inflexión fue un malware recientemente descubierto, capaz no solo de replicarse, sino también de robar diversos tipos de secretos, yendo mucho más allá de comprometer un solo ecosistema. La compañía enfatiza que sin la intervención y respuesta oportunas de la comunidad, las consecuencias podrían haber sido mucho más graves.
El nuevo modelo de entrega tiene como objetivo reducir la dependencia de los tokens como único punto de falla y aumentar el nivel de verificación de cada acción de colocación de paquetes.
Estas medidas representan no sólo una respuesta a un ataque específico, sino también una revisión estratégica de todo el sistema de seguridad, basada en los principios de minimización de privilegios y verificación criptográfica.
RedazioneEn el porche de una vieja cabaña en Colorado, Mark Gubrud , de 67 años, mira distraídamente el anochecer distante, con su teléfono a su lado y la pantalla todavía en una aplicación de noticias. ...
El trabajo remoto ha dado libertad a los empleados , pero con él también ha llegado la vigilancia digital . Ya comentamos esto hace tiempo en un artículo donde informamos que estas herramientas de ...
La empresa israelí NSO Group apeló un fallo de un tribunal federal de California que le prohíbe utilizar la infraestructura de WhatsApp para distribuir su software de vigilancia Pegasus. El caso, q...
Se ha identificado una vulnerabilidad de omisión de autenticación en Azure Bastion (descubierta por RHC gracias a la monitorización constante de CVE críticos en nuestro portal), el servicio gestio...
El panorama del ransomware está cambiando. Los actores más expuestos —LockBit, Hunters International y Trigona— han pagado el precio de la sobreexposición, incluyendo operaciones internacionale...
