L’article ne peut pas être activé avec JavaScript. Vous pouvez également activer JavaScript dans votre navigateur et sur la nouvelle page.
GitHub a introduit un pare-feu de package qui peut bloquer les installations de dépendances avant qu’un agent de codage ou une version automatisée ne les télécharge. La préversion publique est disponible pour les clients Enterprise Cloud, y compris ceux utilisant la résidence des données.
Le service prend actuellement en charge uniquement les packages npm. Il est gratuit pendant la version préliminaire, avec une facturation basée sur l’utilisation prévue lorsqu’il sera généralement disponible.
Le pare-feu vérifie les demandes de packages avant qu’elles n’atteignent le programme d’installation
Les administrateurs définissent des politiques, puis configurent les points de terminaison ou les registres internes pour envoyer les requêtes via le pare-feu plutôt que directement vers les référentiels de packages en amont. Les demandes de liste de packages et les téléchargements eux-mêmes sont évalués.
Les contrôles disponibles incluent une période de refroidissement pour les packages nouvellement publiés, des vérifications contre les logiciels malveillants et les avis de vulnérabilité dans la base de données consultative GitHub, ainsi que des contrôles de la chaîne d’approvisionnement tels que les rétrogradations d’attestation.
Le temps de recharge est destiné à fournir une période d’attente avant que de nouvelles versions puissent être installées. Il s’agit d’un choix politique, et non d’une preuve qu’un ancien paquet est inoffensif ou que chaque paquet nouvellement publié est dangereux.
Si un package est bloqué par erreur, les utilisateurs peuvent demander une exception. Le flux de travail donne aux administrateurs un moyen d’examiner un cas spécifique sans abandonner la politique plus large.
Les agents de codage créent une raison pour déplacer les chèques plus tôt
GitHub met en évidence les agents et les exécuteurs CI, car ils installent souvent des dépendances tout en accomplissant une tâche sans qu’une personne n’examine chaque installation. Une porte au moment de l’installation peut appliquer les règles de l’organisation à ce stade du flux de travail.
Le pare-feu doit être configuré et les requêtes doivent effectivement le traverser. Il n’est pas décrit comme une protection couvrant automatiquement chaque machine de développement, écosystème de packages ou agent dès qu’une entreprise a accès à GitHub.
MIXED a couvert la diffusion des intégrations d’agents officiels pour les outils de développement. À mesure que ces agents effectuent davantage de tâches de configuration, les contrôles de dépendance font partie de la gestion de leur environnement d’exécution. L’offre initiale de GitHub est une porte de politique npm spécifique, avec des fonctionnalités plus larges encore en développement pendant la préversion.