Cómo funcionan los Supply Chain Attacks: El caso Axios

CodelyTV - Redescubre la programación

Summary

The video explains the dangers of supply chain attacks in software development, using the Axios library as a primary example. It analyzes how malicious actors use sophisticated social engineering to infect maintainer teams, succeeding in injecting malicious code into popular dependencies. Finally, it offers practical defensive strategies such as updating dependencies only in CI environments, using cooldown periods for new versions, and employing dependency proxies to ensure source code integrity.

Chapters

  1. 0:00Understanding Supply Chain Attacks
  2. 1:48The Role of Maintainers
  3. 4:04Anatomy of the Axios Attack
  4. 8:11Systemic Vulnerabilities in Packaging
  5. 11:26Strategies for Defense
  6. 14:16Automating Security with Dependabot
  7. 15:35Managing Risk and Mitigation

Topics covered

  • Nature of supply chain attacks
  • Role of maintainers and package maintenance
  • Social engineering and team compromise
  • Vulnerability in the post-installation process
  • Importance of the Provenance trust seal
  • Update strategies: CI versus local
  • Security through cooldown periods
  • Using proxies for dependency integrity

Transcript excerpt

Llevamos una racha donde no hacemos más que ver ataques de supply chain. ¿Qué quiere decir ataques de cadena de provisionamiento en tus dependencias, en tu aplicación? Lo vemos en múltiples ecosistemas. Ahí tenemos la gente del ecosistema JavaScript con axios hace unos escasos semanas o meses y también en cualquier ecosistema, no se salva nadie, Python y muchos más otros, como también, ojo importante, JVM. Correcto. Y la JVM, lo que pasó en su momento con LC for J no fue el problema de que vino un hacker, una persona mala y metió una dependencia incorrecta, no. Fue un B de seguridad que se metió, se introdujo sin querer y de golpe con si tenías esa dependencia se podía ejecutar código remoto en tu ordenador. Vamos a ver en este vídeo en qué consisten estos ataques y cómo es posible que se produzcan. Lo vamos a ver paso a paso y lo vamos a ver de la mano de el ejemplo concreto de el caso…