התקנת מודולים מאובטחים ב-npm

אחרי שפרסמתי את הפרצה האחרונה שהתגלתה ב-npm בעקבות המחדל של eslint, שאלו אותי כיצד אפשר להמנע מבעיות כאלו. החלטתי להציג בבלוג כמה כלים שאני משתמש בהם. אם אתם מכירים כלים אחרים/ נוספים – התגובות פה 🙂 במאמר הבא אכתוב על npq אחד הכלים השימושיים ביותר הוא Snyk.io שהוא אחד מהמוצרים המוצלחים לאבטחת מידע מצד הקוד.

השבוע העברתי הרצאה ב-Javascript ישראל. כמקובל באירועים האלו, בעוד אני הרציתי על שטויות שראיתי ב-view source, האנשים שהרצו לצידי במיטאפ היו אנשים רציניים ביותר. אופיר הרפז, דני גרנדר ומתי בר-זאב הם מפתחים וחוקרים בקנה מידה בינלאומי והעבירו הרצאות מעניינות ביותר. דני גרנדר הוא המייסד המשותף של חברת snyk. הוא לא דיבר על זה בהרצאה אבל שווה לדבר על הכלי של החברה שלו. בגדול, ל-snyk יש מאגר נתונים עצום על מודולים של node שנמצאים ב-npm כולל חורי האבטחה שלהם שלא תוקנו. בהקלדה מאוד פשוט כל מפתח יכול לדעת בשניות אם המודול שהוא חושב להתקין חשוף או לא דרך הקונסולה (כן כן נודניקים, גם בחלונות). זה כמובן צד אחד קטן של המוצר אבל הצד שאני רוצה לדבר עליו.

איך משתמשים בזה? נכנסים לאתר של snyk,io ונרשמים. מיד אחרי הרישום אפשר להכנס לדף הזה ולעקוב אחר ההוראות. בגדול זה די פשוט. מדובר במודול node גלובלי שאפשר להפעיל אותו דרך הקונסולה (אמרתי שגם בחלונות לא?). אחרי שנרשמים דרך האתר ממש בפשטות, נפתח את הקונסולה (אם אנחנו בלינוקס או במק) או ה-cmd אם אנחנו בחלונות. כדי להוכיח לכם שזה עובד גם שם, ההדגמות יהיו ב-cmd.

אז קודם כל מתקינים:

npm install -g snyk

אחרי זה עושים התחברות.

snyk auth

אחרי כמה שניות, תקבלו הודעה שהכל תקין ו… אפשר להשתמש.

כיוון שהתקנו את המודול באופן גלובלי, אנחנו יכולים לעבוד יפה עם snyk בשורה הגלובלית. בואו ונבדוק! נניח שאני רוצה לבדוק את מודול express שהוא מודול חשוב ביותר. האם יש לו פרצות ידועות? (טוב, אל תהיו במתח, הוא תקין, אם יש בו פרצות אבוד לנו). אם נריץ

snyk test express

נראה שהכל תקין:

אבל אם למשל נבדוק משהו שאנחנו יודעים שיש בו בעיה, כמו למשל גרסה 3 המיושנת של express (היום אנחנו בגרסה 4) – נראה ש… אלוהים שיעזור ויציל:

יש ל-snyk עוד תכונות חשובות כמו ה-wizard שיעזור לכם לשדרג חבילות דפוקות (וזה עיקר השירות) אפשר למשל בריפוזיטורי שלכם (איפה שיש את ה-package.json) להקליד:

snyk monitor

ולקבל תמונת מצב מלאה על הפרויקט ואף לקבל מייל במידה ובמאגרים של snyk יתגלה משהו חדש. מעניין, לא? בכל רגע נתון אפשר לראות את סטטוס הפרויקט.

הייתי יכול להמשיך לחפור פה אבל חבל. אתם מודעים ל-snyk? שחקו יפה. מתקינים משהו חדש? בדקו עם snyk את המצב שלו. אולי יש דברים שיפתיעו אתכם.