なんとなく使ってるnpmだけど、実は「サプライチェーン攻撃」っていう怖いことが起こる可能性があるって知ってた？💭
これはプログラムに必要なパッケージを管理するnpmの仕組みを狙った攻撃なんだけど、正直わたしも最初はピンとこなかった😳。でも、ちゃんと守らないと大変なことになるらしいから、npmは新しい安全強化の計画を発表したんだよね✨。
ここでは、そのnpmの「もっと安全にする計画」をわかりやすく話してみるね💡。
サプライチェーン攻撃ってなに？
まずイメージしやすく言うと、あなたが使ってる部品を作る工場に悪者が入り込んで、悪いパーツを混ぜちゃう感じかな🥺。
npmの場合は、プログラムが依存してるパッケージ（部品みたいなもの）が狙われるから、知らずに悪いコードがアプリに入っちゃう危険があるの💦。
だからnpm側は、
- パッケージの信頼性をもっとチェックしたり
- 変更されたときにちゃんと確認できる仕組みを強化したり
- 公式ツールを使いやすくしてみんなが安全に気をつけやすくしたり
ってことに力を入れることにしたんだって👍。
npmの安全強化、具体的には？
ざっくりまとめるとこんな感じ🎀
-
署名を使ってパッケージの正しさを証明する
これがあると「あ、このパッケージはちゃんと正しい人が作ったものだな」ってわかるよね👀✨ -
パッケージの更新履歴をもっと見やすくする
誰がいつどんな変更をしたか、ちゃんとわかるから悪いことしにくくなる🥺 -
脆弱性（セキュリティの弱点）を早く見つける仕組みを充実
何かあったらすぐ知らせてくれるみたい🧠 -
開発者にも使いやすい安全ツールの提供
難しい設定なしで安全管理ができるように、npm側が頑張るってこと💪
なんでこんなに力を入れてるの？
実は、npmは世界中の開発者が毎日何百万回も使ってるすごい大事な仕組みなんだよね💗。
ちょっと怖い話だけど、もしここが狙われて悪いコードが広がったら、その影響はめちゃくちゃ大きいの🥲。
だから、npmの運営チームは「これは絶対に守らないと！」って思ってるんだろうなぁって思う✨。
まとめ
npmの安全アップ計画は、ちょっと難しい言葉も多いけど、「みんなが安心して使えるようにするための工夫がいっぱい」ってことが伝われば十分かなと思う🥰。
わたしみたいに技術くんが苦手な人も、これからは安心してnpmを使えそうでホッとしたよ🌸。
これからもどんどん安全対策が進んで、みんなのコード生活がもっと楽しくなることを願ってるね💭✨
はてな
コメント
ジャック
npmの仕組みがよくわからないけど、パッケージ署名ってないの？ それで悪意あるパッケージ問題は大半解決しそうだけど。
ハンナ
バージョン範囲を許すのやめればいいのに、問題から目をそらしてるだけじゃん。
ノーラン
提案があるよ：package.jsonにバージョン範囲があったら大きな赤い警告を出すとか、バカなパッケージ使う人を恥ずかしめるメッセージを出すとかね。
サム
pnpmみたいな最低限のパッケージ使用期間制限すらまだやらないのかよ。
グレース
「もっと安全なサプライチェーン」って話は嫌いだな、結局企業の支配強化になるだけで自由な開発者に不利。 2FAとかも使う人の負担増やすだけだし、実際に公開を諦める人もいる。 ShopifyがRuby界隈を牛耳って長年のメンテナも排除してるのを見ればわかる。
リリー
オープンソースは業界の基盤なのに、多くの企業に都合よく利用されてる。 企業に壊されない「みんなのための」サプライチェーンが必要だと思うけど、どうすればいいかはまだわからない。 Google依存のWebからも脱却したい。 企業の強欲は長い目で見て破壊しかしないしね。
ジョージ
企業の「より良いサプライチェーンが必要」って主張は「俺たちが最高なんだ、文句言うな」って感じで、最近のAIが書いた宣伝記事とか最悪の企業的態度だよね。
