パッケージマネージャーのサプライチェーン攻撃対策（npm / Yarn / pnpm / Bun）

1. パッケージのエイジゲート（`min-release-age`系）

主要なパッケージマネージャーには、公開から一定期間が経過していないバージョンをインストール対象から除外する設定が用意されています。

悪意のあるパッケージは公開から数時間〜数日以内に検出・削除されることがほとんどです^[2]。この「検出までの空白期間」にインストールしてしまわないよう、どのパッケージマネージャーでも閾値を設定しておくことが一般的に有効とされています。

2. ロックファイルを使おう

ロックファイルとは、npm installなどで解決された依存関係の正確なバージョンとハッシュを記録するファイルです。

これをリポジトリにコミットしておくことで、うっかり違うバージョンをインストールする事態を防げます。

さらに、インストール時にロックファイル内に記録されたハッシュでパッケージを検証するため、レジストリ側でパッケージの中身が差し替えられた場合にも検知できます。

また、攻撃が発覚した際、汚染されたバージョンが自分のプロジェクトに含まれているかどうかを、ロックファイルを確認するだけですぐに判断できます。

3. `postinstall`の無効化

パッケージのインストール時に、サードパーティのスクリプトが自動実行されないようにすることも効果的です。先日のaxiosの件は、このpostinstallスクリプトが攻撃の起点でした。

• npm： .npmrc に ignore-scripts=true を追加する。

• pnpm（v10以降）：デフォルトで無効^[4]

• Bun（v1.2以降）：デフォルトで無効^[5]

• Yarn Berry（v2以降）：デフォルトで無効^[6]

上記のようにYarnもpostinstallスクリプトの使用を強く非推奨としています。

パッケージインストール後にスクリプトを自動実行してくれるpostinstallは便利な側面もありますが、こういうリスクがあるのは恐ろしいですね。自分の目に見えない範囲では動かないようにしておくのが良さそうです^[7]。

4. アップデートツールにもエイジゲートを設定しよう

パッケージマネージャーの設定だけでは、DependabotやRenovateが生成するプルリクエスト経由で新しいバージョンが入り込む可能性があります。

こちらにも設定を追記しましょう。

{
  "minimumReleaseAge": "3 days",
  "packageRules": [
    {
      "matchUpdateTypes": ["major"],
      "minimumReleaseAge": "5 days"
    },
    {
      "matchUpdateTypes": ["minor"],
      "minimumReleaseAge": "5 days"
    }
  ],
  "vulnerabilityAlerts": {
    "minimumReleaseAge": "0 days"
  }
}

version: 2
updates:
  - package-ecosystem: 'npm'
    directory: '/'
    schedule:
      interval: 'daily'
    cooldown:
      default-days: 3
      semver-major-days: 5
      semver-minor-days: 5

まとめ

• min-release-ageで公開されてから時間が経ったパッケージだけを利用する

• ロックファイルを厳格に管理し、意図しない変更を防ぐ

• ignore-scriptsでpostinstall由来のコード実行をブロックする

• アップデートツールにもエイジゲートを設ける

それぞれは簡単な設定変更ですが、サプライチェーン攻撃にたいして有意義な対策です。みなさんのプロジェクトもぜひ見直してみてください💡

ところでこのmin-release-ageの概念って日本語でなんていうのがいいんだろう。クールダウン？エイジゲートでいいのかな？

…年確？

…。

エイジゲートでいいか…。

謝辞

@mehm8128さんより、pnpm v10以降・Bun v1.2以降はデフォルトでpostinstallが無効化されている旨をご指摘いただき記事を修正しました。ありがとうございます!!🙏