【AICon】探索RAG 技术在实际应用中遇到的挑战及应对策略!AICon精华内容已上线73%>>> 了解详情
写点什么

Redpoint Games 推出 NPM 包签名工具

  • 2018-01-18
  • 本文字数:985 字

    阅读完需:约 3 分钟

看新闻很累?看技术新闻更累?试试下载 InfoQ 手机客户端,每天上下班路上听新闻,有趣还有料!

Redpoint 推出了 pkgsign,一个 NPM 的软件包签名和验证工具。它旨在确保上传至 NPM 注册表和从 NPM 注册表下载的包的真实性,从而提高安全性。

当你用 NPM 工作时,会出现一个潜在的安全问题,那就是包的作者无法验证。这意味着恶意软件包可以以合法软件的名义得以上传,反过来,任何依赖它的应用程序也可以照常执行这个软件包。

最近发生的一起事件证明了这点。当几个包从 NPM 注册表意外消失时,九个不知名的包被上传,取而代之。虽然这个问题现在已经解决了,但还是有一段空档期,在这期间,不可信的代码会被误用,就如同它们是合法的代码一样。

为了降低这种风险,Redpoint 推出了 pkgsign:

pkgsign 是一个工具,它能为 NPM 和 Yarn 包添加签名并使用已知签名来验证这些包。为了简化操作,pkgsign 还允许使用 PGP 私钥或 keybase.io 来签名包。

在安装 Keybase 和 pkgsign 之后,包作者可以导航到其软件包目录,并发出如下的命令来签署软件包:

pkgsign .在这个过程中,一个“signature.json”文件将被添加到包中,其他用户可以用这个文件来验证作者的真实性。

通过使用 Keybase,签名还可以连接到各种社交媒体帐户,这有助于进一步验证签名者的身份。同时,PGP 签名也是可用的,这意味着作为替代选择,大公司可以生成 PGP 密钥并将其上传到公共域。

要验证当前你正在处理的包的依赖包,你可以再次发出下面这条命令:

pkgsign verify .--full未来还将发布一个“代表签名”的功能。即使依赖项所有者本身未进行签名,这个功能也可以让软件包为其依赖包的内容签名。所以,它能够使包被完全签名。

需要指出的是,由于该工具仍然较新,所以有些软件包仍然没有用它进行签名:

目前 pkgsign 依赖于未签名的包(因为它还比较新!)。当你从 GitHub 或 NPM 安装 pkgsign 时,这些依赖包还不能得到验证。

如果 pkgsign 使用率增长,可能就会改变这一情况,但现在,建议你直接从 GitHub 克隆 pkgsign 项目,以确保你使用的是正确的版本。或者,你可以直接从 NPM 注册表中安装它,而不用签名。

查看英文原文 Redpoint Games Launch NPM Package Signing Tool


感谢冬雨对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们。

2018-01-18 18:001035
用户头像

发布了 34 篇内容, 共 18.5 次阅读, 收获喜欢 47 次。

关注

评论

发布
暂无评论
发现更多内容

构师训练营 - 第十二周学习总结

joshuamai

第六周 技术选型(二) 作业 「架构师训练营 3 期」

胡云飞

构师训练营 - 第十二周课后练习

joshuamai

产品与服务

JiangX

创业 产品 投资 服务 28天写作

第二周作业

MR.X

python自学 第一章 初始python

WEB前端修行日志

Python

架构师系列 13 Spark 大数据处理在金融领域中的应用

桃花原记

week-10-part1微服务调用的时序图

陈龙

架构师训练营一期大作业一

陈龙

前端也要懂机器学习(上)

执鸢者

机器学习 大前端 特征选择

生命唯愿,爱与自由

废材姑娘

个人感悟

数据应用总结(一)

Mars

Java并发编程实战(3)- 互斥锁

技术修行者

Java 并发编程 多线程

week-10-part2 学习总结

陈龙

架构师训练营第二期 Week 12 作业

bigxiang

架构师训练营第2期

电动车基本知识(28天写作 Day3/28)

mtfelix

自动驾驶 28天写作 电动汽车

架构作业(二)

薛凯

Java Kafka 简单示例

Java kafka

数仓面试高频考点--解决hive小文件过多问题

五分钟学大数据

大数据 hive 面试 数仓

架构师训练营一期大作业二

陈龙

RocketMQ如何保证消息可靠性

废材姑娘

RocketMQ

架构作业一

薛凯

架构师训练营第二期 Week 12 总结

bigxiang

架构师训练营第2期

第七周学习心得

cc

week-11-part2 学习总结

陈龙

week-11-part1分析系统不可用的原因

陈龙

第七周 性能优化(一) 作业 「架构师训练营 3 期」

胡云飞

【HTML】全局属性:accesskey

德育处主任

html html5 大前端 快捷键 28天写作

Windows10 Kafka Docker 集群搭建

Docker kafka

第七周命题作业

cc

MapReduce函数分析

Mars

Redpoint Games推出NPM包签名工具_安全_Andrew Morgan_InfoQ精选文章