AICon 上海站|90%日程已就绪,解锁Al未来! 了解详情
写点什么

Redpoint Games 推出 NPM 包签名工具

  • 2018-01-18
  • 本文字数:985 字

    阅读完需:约 3 分钟

看新闻很累?看技术新闻更累?试试下载 InfoQ 手机客户端,每天上下班路上听新闻,有趣还有料!

Redpoint 推出了 pkgsign,一个 NPM 的软件包签名和验证工具。它旨在确保上传至 NPM 注册表和从 NPM 注册表下载的包的真实性,从而提高安全性。

当你用 NPM 工作时,会出现一个潜在的安全问题,那就是包的作者无法验证。这意味着恶意软件包可以以合法软件的名义得以上传,反过来,任何依赖它的应用程序也可以照常执行这个软件包。

最近发生的一起事件证明了这点。当几个包从 NPM 注册表意外消失时,九个不知名的包被上传,取而代之。虽然这个问题现在已经解决了,但还是有一段空档期,在这期间,不可信的代码会被误用,就如同它们是合法的代码一样。

为了降低这种风险,Redpoint 推出了 pkgsign:

pkgsign 是一个工具,它能为 NPM 和 Yarn 包添加签名并使用已知签名来验证这些包。为了简化操作,pkgsign 还允许使用 PGP 私钥或 keybase.io 来签名包。

在安装 Keybase 和 pkgsign 之后,包作者可以导航到其软件包目录,并发出如下的命令来签署软件包:

pkgsign .在这个过程中,一个“signature.json”文件将被添加到包中,其他用户可以用这个文件来验证作者的真实性。

通过使用 Keybase,签名还可以连接到各种社交媒体帐户,这有助于进一步验证签名者的身份。同时,PGP 签名也是可用的,这意味着作为替代选择,大公司可以生成 PGP 密钥并将其上传到公共域。

要验证当前你正在处理的包的依赖包,你可以再次发出下面这条命令:

pkgsign verify .--full未来还将发布一个“代表签名”的功能。即使依赖项所有者本身未进行签名,这个功能也可以让软件包为其依赖包的内容签名。所以,它能够使包被完全签名。

需要指出的是,由于该工具仍然较新,所以有些软件包仍然没有用它进行签名:

目前 pkgsign 依赖于未签名的包(因为它还比较新!)。当你从 GitHub 或 NPM 安装 pkgsign 时,这些依赖包还不能得到验证。

如果 pkgsign 使用率增长,可能就会改变这一情况,但现在,建议你直接从 GitHub 克隆 pkgsign 项目,以确保你使用的是正确的版本。或者,你可以直接从 NPM 注册表中安装它,而不用签名。

查看英文原文 Redpoint Games Launch NPM Package Signing Tool


感谢冬雨对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们。

2018-01-18 18:001369
用户头像

发布了 34 篇内容, 共 19.8 次阅读, 收获喜欢 47 次。

关注

评论

发布
暂无评论
发现更多内容

国产游戏蓄力,火山引擎ByteHouse助力游戏厂商造爆款

字节跳动数据平台

数据库 大数据 云原生 Clickhouse 数仓

基于STM32+SHT30设计的环境温度与湿度检测系统(IIC模拟时序)

DS小龙哥

9月月更

After Effects 2022 for Mac(AE 2022) v22.6.0中文激活版

Rose

Apeaksoft Video Fixer for Mac 视频修复软件

Rose

SyncBird Pro for Mac(iPhone文件管理器) v4.1.1激活版

Rose

Nitro PDF Pro for Mac(全能PDF编辑软件) v13.3.1fix激活版

Rose

交互式UI原型设计神器 Principle for Mac 直装激活版

Rose

mac文件隐藏加密 MacPawHider 2 v2.5.1激活版

Rose

【重磅升级】积木报表 v1.8.1 版本发布,支持填报功能

JEECG低代码

智进AI,共话增长 | 数智时代,企业需要什么样的AI生产力?

ToB行业头条

【Tomcat源码分析 】 类加载机制的源码解读

派大星

tomcat源码解读

看!全是科技与狠活的“统一终端安全”,如何为终端设备叠buff

芯盾时代

身份安全 终端安全 统一运维

VMware Fusion Pro 13 for Mac(VM虚拟机) v13.5.0中文激活版

Rose

阿里巴巴中国站1688商品搜索API返回值深度解析与实战应用

代码忍者

API 测试 API 策略

SyncBird Pro for Mac(iPhone文件管理器) v4.1.1激活版

Rose

mac苹果电脑小霸王游戏:FC红白机游戏600合集 for mac 单机游戏下载

你的猪会飞吗

Mac游戏下载 Mac游戏推荐

Moment for Mac(菜单栏倒数日应用) v1.4激活版

Rose

正式开拍!快手联合9大导演使用可灵AI拍摄电影;百度文心一言市场负责人张全文否认放弃通用大模型|AI日报

可信AI进展

阿里云Elasticsearch AI搜索实践

阿里云大数据AI技术

人工智能 自然语言处理 elasticsearch rag AI搜索

Tableau Desktop Pro 2020(数据分析软件)破解版安装包

Rose

XMind for mac (XMind思维导图) v24.01中文永久许可 支持M1/M2/M3

Rose

Redpoint Games推出NPM包签名工具_安全_Andrew Morgan_InfoQ精选文章