المهاجمون يريدون أجهزة مطوريك

هجمات سلسلة التوريد في مارس لم تتوقف. يواصل الباحثون الإبلاغ عن حزم وأدوات سطر أوامر وإضافات محررات ملغومة صُنعت لمهمة واحدة: سرقة رموز GitHub، ورموز npm وPyPI، ومفاتيح SSH، وبيانات اعتماد السحابة من أجهزة المطورين وخوادم البناء.

هذا منطقي. جهاز المطور كثيرًا ما يستطيع دفع الكود ونشر الحزم والوصول إلى الإنتاج. وهو أيضًا المكان الذي يثبّت فيه الناس أدوات جديدة كل أسبوع.

• استخدم بيانات اعتماد قصيرة العمر: دخول موحد لأدوات السحابة، ورموز GitHub دقيقة الصلاحيات بتاريخ انتهاء.
• أبعد مفاتيح SSH والرموز عن الملفات النصية حيث أمكن. استخدم سلسلة مفاتيح النظام، أو مفتاحًا ماديًا، أو وكيل مدير كلمات المرور.
• اطلب تحققًا متعدد العوامل، ويُفضَّل مفاتيح المرور، لنشر الحزم ولمنصة الكود.
• كن انتقائيًا مع إضافات المحرر. تعمل بكامل صلاحياتك.
• النشر إلى الإنتاج يمر عبر CI بتغييرات مراجعة، لا من جهاز شخصي.