התקנת מודולים מאובטחים ב-npm

אחרי שפרסמתי את הפרצה האחרונה שהתגלתה ב-npm בעקבות המחדל של eslint, שאלו אותי כיצד אפשר להמנע מבעיות כאלו. החלטתי להציג בבלוג כמה כלים שאני משתמש בהם. אם אתם מכירים כלים אחרים/ נוספים – התגובות פה 🙂 במאמר הבא אכתוב על npq אחד הכלים השימושיים ביותר הוא Snyk.io שהוא אחד מהמוצרים המוצלחים לאבטחת מידע מצד הקוד.

השבוע העברתי הרצאה ב-Javascript ישראל. כמקובל באירועים האלו, בעוד אני הרציתי על שטויות שראיתי ב-view source, האנשים שהרצו לצידי במיטאפ היו אנשים רציניים ביותר. אופיר הרפז, דני גרנדר ומתי בר-זאב הם מפתחים וחוקרים בקנה מידה בינלאומי והעבירו הרצאות מעניינות ביותר. דני גרנדר הוא המייסד המשותף של חברת snyk. הוא לא דיבר על זה בהרצאה אבל שווה לדבר על הכלי של החברה שלו. בגדול, ל-snyk יש מאגר נתונים עצום על מודולים של node שנמצאים ב-npm כולל חורי האבטחה שלהם שלא תוקנו. בהקלדה מאוד פשוט כל מפתח יכול לדעת בשניות אם המודול שהוא חושב להתקין חשוף או לא דרך הקונסולה (כן כן נודניקים, גם בחלונות). זה כמובן צד אחד קטן של המוצר אבל הצד שאני רוצה לדבר עליו.

איך משתמשים בזה? נכנסים לאתר של snyk,io ונרשמים. מיד אחרי הרישום אפשר להכנס לדף הזה ולעקוב אחר ההוראות. בגדול זה די פשוט. מדובר במודול node גלובלי שאפשר להפעיל אותו דרך הקונסולה (אמרתי שגם בחלונות לא?). אחרי שנרשמים דרך האתר ממש בפשטות, נפתח את הקונסולה (אם אנחנו בלינוקס או במק) או ה-cmd אם אנחנו בחלונות. כדי להוכיח לכם שזה עובד גם שם, ההדגמות יהיו ב-cmd.

אז קודם כל מתקינים:

npm install -g snyk

אחרי זה עושים התחברות.

snyk auth

אחרי כמה שניות, תקבלו הודעה שהכל תקין ו… אפשר להשתמש.

Your account has been authenticated. Snyk is now ready to be used.

כיוון שהתקנו את המודול באופן גלובלי, אנחנו יכולים לעבוד יפה עם snyk בשורה הגלובלית. בואו ונבדוק! נניח שאני רוצה לבדוק את מודול express שהוא מודול חשוב ביותר. האם יש לו פרצות ידועות? (טוב, אל תהיו במתח, הוא תקין, אם יש בו פרצות אבוד לנו). אם נריץ

snyk test express

נראה שהכל תקין:
Tested express for known vulnerabilities, no vulnerable paths found.

אבל אם למשל נבדוק משהו שאנחנו יודעים שיש בו בעיה, כמו למשל גרסה 3 המיושנת של express (היום אנחנו בגרסה 4) – נראה ש… אלוהים שיעזור ויציל:
Tested express@3 for known vulnerabilities, found 7 vulnerabilities, 38 vulnerable paths.

Tested express@3 for known vulnerabilities, found 7 vulnerabilities, 38 vulnerable paths.

יש ל-snyk עוד תכונות חשובות כמו ה-wizard שיעזור לכם לשדרג חבילות דפוקות (וזה עיקר השירות) אפשר למשל בריפוזיטורי שלכם (איפה שיש את ה-package.json) להקליד:

snyk monitor

ולקבל תמונת מצב מלאה על הפרויקט ואף לקבל מייל במידה ובמאגרים של snyk יתגלה משהו חדש. מעניין, לא? בכל רגע נתון אפשר לראות את סטטוס הפרויקט.

הייתי יכול להמשיך לחפור פה אבל חבל. אתם מודעים ל-snyk? שחקו יפה. מתקינים משהו חדש? בדקו עם snyk את המצב שלו. אולי יש דברים שיפתיעו אתכם.

אהבתם? לא אהבתם? דרגו!

לא אהבתי בכלללא אהבתיבסדראהבתיאהבתי מאוד (6 הצבעות, ממוצע: 4.00 מתוך 5)

תגיות: , פורסם בקטגוריה: פיתוח ב-JavaScript

יאללה, שתפו :)

אל תשארו מאחור! יש עוד מה ללמוד!

3 comments on “התקנת מודולים מאובטחים ב-npm
  1. משה הגיב:

    תודה לך אני מתחיל את הצעדים שלי בתחום הפיתוח
    רק דרך המדריכים שלך

  2. רובי ריבלין הגיב:

    מגניב. יש משהו דומה לאקוסיסטם של Ruby on Rails?

  3. אורן הגיב:

    מאמר מעולה כרגיל. הולך לבדוק איך זה עושה לי חיים קלים יותר עם php.
    ברמה ההיפותטית, זה יכול לסייע לי לאתר כשלים גם בתוספים המותקנים באתרים שונים, לא?

כתיבת תגובה

האימייל לא יוצג באתר.

רישום