Ustavno vijeće srušilo zabranu u Francuskoj
Francuska se namjerava pridružiti sve većem broju država koje djeci žele zabraniti pristup društvenim mrežama. Međutim, njezine je planove usporila odluka najvišeg ustavnog tijela u zemlji.
GitHub je objavio da su napadači koji su kompromitirali 3.800 internih repozitorija pristup dobili preko zlonamjerne verzije Nx Console VS Code ekstenzije, povezane s TanStack npm supply-chain napadom.
Razvojni alati, ekstenzije i CI/CD tokeni postali su kritična napadna površina. Napadači ne moraju izravno provaliti u produkciju ako mogu doći do repozitorija, tajni, workflowa i paketa koji kasnije ulaze u softverski lanac. Supply-chain napadi pogađaju povjerenje u softver. Jedan kompromitirani paket ili ekstenzija može se proširiti kroz velik broj organizacija, posebno ako developeri rutinski instaliraju alate iz javnih repozitorija.
GitHubov slučaj pokazuje koliko su razvojne ekstenzije i paketi postali kritična točka softverskog lanca opskrbe. Napadač koji kompromitira alat koji developeri rutinski koriste može doći do repozitorija, tajni, workflowa i paketa koji kasnije ulaze u produkciju. Time se granica napada pomiče iz aplikacije prema razvojnom okruženju.
TanStack npm supply-chain napad i zlonamjerna verzija Nx Console ekstenzije podsjećaju da povjerenje u javne repozitorije mora biti aktivno upravljano. Developeri trebaju brzinu i praktičnost, ali organizacije moraju znati koje ekstenzije dopuštaju, kako rotiraju tajne i tko ima pravo objavljivanja paketa. Bez te kontrole jedan kompromitirani alat može imati tisuće posljedica.
Za europske tvrtke i javni sektor ovo se izravno povezuje s NIS2, DORA-om i zahtjevima za upravljanje dobavljačkim rizikom. SBOM, potpisivanje paketa, ograničavanje tokena i provjera CI/CD procesa više nisu dodatna sigurnosna zrelost, nego dio osnovne odgovornosti. Posebno je važno ukloniti trajne tajne iz razvojnih okruženja.
Ovaj incident treba ući u sigurnosne kontrole svakog razvojnog tima. Pregled ekstenzija, revizija pristupa repozitorijima, rotacija tokena i nadzor promjena u build procesu moraju postati redovita praksa. GitHubov slučaj zato nije samo vijest o jednom breachu, nego upozorenje da se softverski lanac brani od prvog developerskog alata do produkcijske isporuke.
Više vijesti iz kategorije
Visa predstavila napredna A2A Protect rješenja
Prošireno rješenje uvodi novi jedinstveni pokazatelj prijevare (fraud score) – prvu Visa-inu integraciju tehnologije tvrtke Featurespace dostupnu na tržištu – pružajući financijskim institucijama brže i jasnije signale za otkrivanje većeg broja prijevara uz istodobno smanjenje broja nepotrebnih upozorenja.
ChatGPT, Reddit i Roblox pod DSA-om
Europska komisija službeno je proglasila ChatGPT vrlo velikom internetskom tražilicom (VLOSE), dok su Reddit i Roblox svrstani među vrlo velike internetske platforme (VLOP) prema Aktu o digitalnim uslugama (DSA). Odluke su donesene nakon što su same usluge prijavile da u Europskoj uniji dosežu najmanje 45 milijuna prosječnih mjesečnih korisnika, čime ispunjavaju regulatorni prag za tu klasifikaciju.
