飞天发布时刻:2024年 Forrester 公有云平台Wave™评估报告解读 了解详情
写点什么

Redpoint Games 推出 NPM 包签名工具

  • 2018-01-18
  • 本文字数:985 字

    阅读完需:约 3 分钟

看新闻很累?看技术新闻更累?试试下载 InfoQ 手机客户端,每天上下班路上听新闻,有趣还有料!

Redpoint 推出了 pkgsign,一个 NPM 的软件包签名和验证工具。它旨在确保上传至 NPM 注册表和从 NPM 注册表下载的包的真实性,从而提高安全性。

当你用 NPM 工作时,会出现一个潜在的安全问题,那就是包的作者无法验证。这意味着恶意软件包可以以合法软件的名义得以上传,反过来,任何依赖它的应用程序也可以照常执行这个软件包。

最近发生的一起事件证明了这点。当几个包从 NPM 注册表意外消失时,九个不知名的包被上传,取而代之。虽然这个问题现在已经解决了,但还是有一段空档期,在这期间,不可信的代码会被误用,就如同它们是合法的代码一样。

为了降低这种风险,Redpoint 推出了 pkgsign:

pkgsign 是一个工具,它能为 NPM 和 Yarn 包添加签名并使用已知签名来验证这些包。为了简化操作,pkgsign 还允许使用 PGP 私钥或 keybase.io 来签名包。

在安装 Keybase 和 pkgsign 之后,包作者可以导航到其软件包目录,并发出如下的命令来签署软件包:

pkgsign .在这个过程中,一个“signature.json”文件将被添加到包中,其他用户可以用这个文件来验证作者的真实性。

通过使用 Keybase,签名还可以连接到各种社交媒体帐户,这有助于进一步验证签名者的身份。同时,PGP 签名也是可用的,这意味着作为替代选择,大公司可以生成 PGP 密钥并将其上传到公共域。

要验证当前你正在处理的包的依赖包,你可以再次发出下面这条命令:

pkgsign verify .--full未来还将发布一个“代表签名”的功能。即使依赖项所有者本身未进行签名,这个功能也可以让软件包为其依赖包的内容签名。所以,它能够使包被完全签名。

需要指出的是,由于该工具仍然较新,所以有些软件包仍然没有用它进行签名:

目前 pkgsign 依赖于未签名的包(因为它还比较新!)。当你从 GitHub 或 NPM 安装 pkgsign 时,这些依赖包还不能得到验证。

如果 pkgsign 使用率增长,可能就会改变这一情况,但现在,建议你直接从 GitHub 克隆 pkgsign 项目,以确保你使用的是正确的版本。或者,你可以直接从 NPM 注册表中安装它,而不用签名。

查看英文原文 Redpoint Games Launch NPM Package Signing Tool


感谢冬雨对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们。

2018-01-18 18:001324
用户头像

发布了 34 篇内容, 共 19.6 次阅读, 收获喜欢 47 次。

关注

评论

发布
暂无评论
发现更多内容

得物App白屏优化系列|网络篇

得物技术

android 企业号2024年8月PK榜

创新驱动:观测云如何帮助企业在竞争中保持领先

可观测技术

数据分析

ReidsTemplate序列化器

李爽

AIGC应用实战营-毕业总结

王琨琨

秒验合规指南

MobTech袤博科技

开发者

成本效益分析:观测云投资的回报

可观测技术

成本优化

IPQ5018 motherboard: QCN6102-QCN6122 Multi-band integration -DIY customization

wifi6-yiyi

wifi ipq5018 WIFI6E

解锁未来财富密码:AI 自动化副业创收班 - 终身财富加速器

测试人

软件测试

火山引擎携手领克汽车与英特尔,发起首届AI创造者大赛

新消费日报

安全可靠的国产自研数据库PolarDB V2.0,让数据库开发像“搭积木”一样简单!

阿里云数据库开源

解锁未来财富密码:AI自动化副业创收班——终身财富加速器

测吧(北京)科技有限公司

测试

5个Spring 异步与事件注解:解耦与高性能注解应用案例(必须收藏)

肖哥弹架构

spring Spring Boot 异步 事件

未来展望:观测云技术的发展与企业业务的融合

可观测技术

业务监控

动态化-鸿蒙跨端方案介绍

京东科技开发者

基于飞桨框架实现PCA的人脸识别算法

百度Geek说

人脸识别 百度飞桨

如何快速做一个优美的网站?

coxi_vv

开源 建站 网页 halo博客 1Panel

实训机房用什么样的云桌面系统合适?

上海锐起科技

零成本搭建个人 APP 和小程序后台

北桥苏

php Python 运维‘ Vercel railway

秒验集成指南

MobTech袤博科技

开发者

PYUSD跃升为第六大稳定币:借势Solana和高APY的成功之道

区块链软件开发推广运营

交易所开发 dapp开发 区块链开发 NFT开发 公链开发

一文了解电商大促系统的高可用保障思路-献给技术伙伴们

京东科技开发者

5款在线PPT工具,一键生成精美的PPT幻灯片!

职场工具箱

效率工具 职场 PPT 办公软件 AI生成PPT

流程挖掘,为光伏企业重塑确定的竞争力

望繁信科技

数字化转型 流程挖掘 流程智能 光伏企业

秒验SDK扩展业务功能设置

MobTech袤博科技

开发者

DOGS空投掀起交易所竞争热潮,TON生态能否再次引爆市场?

区块链软件开发推广运营

区块链开发 链游开发 NFT开发 公链开发 dapp项目开发

观测云的安全监控策略:Prometheus 生态的深度集成

可观测技术

Prometheus

让程序员欲罢不能的职场工具合集

伤感汤姆布利柏

Redpoint Games推出NPM包签名工具_安全_Andrew Morgan_InfoQ精选文章