npm install だけで機密情報が漏洩するリスク — サプライチェーンリスクのデモと対策

「信頼できるパッケージを使っているから大丈夫」と思っていませんか？ 近年、npm パッケージを経由したサプライチェーンリスクが増加しており、npm install を実行しただけで機密情報が漏洩するリスクがあります。 本記事では、このリスクを実際に手元で再現できるデモを紹介し、取りうる対策とその限界を整理します。 サプライチェーンリスクとは ソフトウェアのサプライチェーンリスクとは、自分たちが直接書いたコードではなく、 依存しているライブラリや開発プロセスを経由して 不正な処理が持ち込まれるリスクです。 npm におけるよくある手口として typosquatting があります。 人気パッケージに酷似した名前のパッケージを公開し、開発者のタイプミスや不注意を狙います。 パッケージには package.json の postinstall フックという仕組みがあり、npm install 実

[mayumayu_nimolove]

非エンジニアも使い始めてる

[Fushihara]

今回の原因は postinstall だけど、手元でデバッグ実行する以上根本的に避けようがないんだよな。開発を仮想環境でやるのを徹底するしかないのか

[nguyen-oi]

依存パッケージのフックで環境変数抜かれるの怖すぎ。npm使う以上避けられない道かこれ

[takehikom]

typosquatting／『複数の対策を組み合わせることが重要です。単一の対策に頼ると、その限界を突かれた場合に無防備になります。』