信頼していたライブラリが乗っ取られる

レン

有名なライブラリなら安心して入れていいよね？

ウィルスン

その「安心」こそが狙い目だ。ワタシがひとつひとつのサーバーを攻めるより、多くの人が使うライブラリに手を入れるほうが効率が良い。更新した全員が、自らワタシのコードを取り込んでくれるのだからな。

レン

そんなことが実際にあるの！？

プロクラ

あるんだ。手口はいくつかある。作者のアカウントを乗っ取る、管理を引き継ぐと申し出て権限を得る、名前がよく似た偽物を公開して打ち間違いを狙う、といったものだね。これらをまとめてサプライチェーン攻撃と呼ぶよ。

個人でもできる備え

• 入れる前に名前をよく確認する（1文字違いの偽物がある）
• 更新頻度・利用者数・issueの様子を見る。極端に新しい、または放置されているものは慎重に
• ロックファイルをコミットして、意図しないバージョンが入らないようにする
• 自動で最新版に上げる設定は便利だが、更新内容を見ないまま本番へ入れない
• 「これ1つのために依存を増やす価値があるか」を毎回考える

レン

全部の中身を読むなんて無理だよ…

プロクラ

無理だよ、それでいい。完全に防ぐのは現実的じゃないんだ。だから発想を変えて「入られた後に被害を小さくする」ほうも用意しておこう。アプリの実行権限を絞る、外部への通信を必要な先だけに限る、鍵をサーバー上に平文で置かない。こうしておけば、仮に混入しても持ち出せるものが減るからね。

プロクラ

そして一番効くのは、依存を増やしすぎないこと。数行で書ける処理のためにライブラリを入れるのは、割に合わないことが多いよ。