NPM 공급망 공격, 안전한 개발 환경 구축은?

NPM 패키지 관리자(Package Manager)의 공급망 공격으로 인한 보안 사고 발생, 심각한 피해 초래

쿨다운(Cooldown), PGP 서명(PGP Signing), 의존성 관리 도구(Dependency Management Tools) 등 다양한 보안 강화 방안 제시

Go, Rust 등 안전한 생태계의 패키지 관리 시스템(Package Management System)과 비교하며 근본적인 문제 제기

Postinstall 스크립트(Postinstall Scripts)의 위험성 및 npm 팀의 책임감 있는 대응 촉구

쿨다운(Cooldown)을 통한 공급망 공격 완화

댓글에서는 쿨다운(Cooldown), 즉 패키지 릴리스 후 일정 기간(예: 1~7일) 동안 해당 패키지를 사용하지 않도록 하는 방법을 제안한다. Artifactory/Nexus와 같은 기업 환경의 패키지 관리 시스템(Package Management System)에서 이미 쿨다운 기능을 지원하며, pnpm을 사용하면 기본적으로 1일 쿨다운을 설정할 수 있다. 또한, depsguard와 같은 오픈 소스 도구를 활용하여 간편하게 쿨다운을 적용할 수 있다. 이는 공격자가 악성 코드를 배포한 후 피해를 최소화하는 데 효과적이다.

Postinstall 스크립트(Postinstall Scripts)의 위험성

커뮤니티에서는 의 존재 자체에 대한 근본적인 의문을 제기한다. 이러한 스크립트는 패키지 설치 시 임의의 코드를 실행할 수 있어, 공급망 공격의 주요 진입점이 된다. 한 사용자는 npm 팀이 특정 시점 이후에 릴리스된 패키지에 대해서만 postinstall 스크립트를 실행하도록 정책을 변경해야 한다고 주장한다. 이는 잠재적인 보안 위협을 줄이는 데 기여할 수 있다.