Supply Chain Security untuk Paket npm dan PyPI: Panduan Lengkap 2026

Generating SBOM dengan CycloneDX

Software Bill of Materials (SBOM) memberikan visibilitas penuh terhadap semua komponen dalam proyek Anda. CycloneDX adalah standar terbuka yang dapat menghasilkan SBOM secara otomatis.

# Generate SBOM untuk proyek Python
pip install cyclonedx-bom
cyclonedx-py -o sbom.json --format json

# Generate SBOM untuk proyek Node.js
npm install -g @cyclonedx/cyclonedx-npm
cyclonedx-npm --output-file sbom.json

# SBOM memungkinkan Anda:
# 1. Melacak semua dependensi termasuk transitive
# 2. Mendeteksi paket yang terkena CVE baru
# 3. Memenuhi compliance requirement (EU CRA, US EO 14028)

Pertahanan untuk Ekosistem npm

ArmorCode merekomendasikan beberapa strategi spesifik untuk melindungi proyek npm dari serangan supply chain. Pertahanan harus mencakup seluruh siklus hidup pengembangan, dari penulisan kode hingga deployment.

Lockfile Integrity

Gunakan npm ci alih-alih npm install dalam environment produksi dan CI. Perintah npm ci menginstal persis sesuai yang tercatat di package-lock.json, sementara npm install dapat memperbarui dependensi secara tidak terduga.

# Salah — dapat mengupdate dependensi tanpa izin
npm install

# Benar — menginstal persis sesuai lockfile
npm ci

# Verifikasi integritas lockfile
npm audit signatures

# Gunakan .npmrc untuk konfigurasi keamanan
# package-lock=true
# ignore-scripts=true  # Mencegah eksekusi script postinstall berbahaya
# audit=true

Scoped Packages dan Private Registry

Gunakan scoped packages (@namaorganisasi/paket) untuk paket internal dan konfigurasi registry privat. Ini mencegah serangan dependency confusion di mana penyerang menerbitkan paket publik dengan nama sama seperti paket internal Anda.

# .npmrc untuk mengarahkan scoped packages ke registry privat
@mycompany:registry=https://registry.mycompany.com/
//registry.mycompany.com/:_authToken=${NPM_TOKEN}

# npm akan selalu mengambil @mycompany/* dari registry privat
# dan mencegah dependency confusion

Penggunaan npm audit dan Socket.dev

Jalankan npm audit secara teratur dan pertimbangkan untuk menggunakan alat analisis supply chain seperti Socket.dev yang mendeteksi perilaku berbahaya — bukan hanya CVE yang diketahui. Socket dapat mengidentifikasi paket yang mengakses environment variables, membuat koneksi jaringan yang tidak biasa, atau mengirimkan data ke server eksternal.

Trusted Publishing dan Sigstore: Masa Depan Keamanan Paket

Salah satu perkembangan paling signifikan dalam keamanan supply chain adalah Trusted Publishing dengan OpenID Connect (OIDC). Mekanisme ini menggantikan API token berumur panjang yang rentan terhadap pencurian dengan autentikasi berbasis identitas kriptografi.

Cara Kerja Trusted Publishing

1. Developer mengonfigurasi GitHub Actions (atau CI/CD lain) sebagai trusted publisher di PyPI
2. Saat kode dipush ke repo, CI/CD secara otomatis meminta token OIDC jangka pendek
3. Token tersebut digunakan untuk menerbitkan paket — tanpa API token yang disimpan di secrets
4. Sigstore menghasilkan attestations kriptografi yang mengaitkan paket ke source repo dan commit spesifik

Keuntungan utama dari pendekatan ini adalah eliminasi token berumur panjang yang menjadi target utama pencurian dalam kampanye Shai-Hulud. Jika tidak ada token yang disimpan, tidak ada yang bisa dicuri.

Konfigurasi Trusted Publishing di PyPI

# 1. Di PyPI, tambahkan GitHub Actions sebagai trusted publisher:
#    Owner: nama-organisasi
#    Repository: nama-repo
#    Workflow: publish.yml
#    Environment: pypi

# 2. Buat workflow GitHub Actions (.github/workflows/publish.yml):
name: Publish to PyPI
on:
  release:
    types: [published]

permissions:
  id-token: write  # Diperlukan untuk OIDC

jobs:
  publish:
    runs-on: ubuntu-latest
    environment: pypi
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: '3.12'
      - run: pip install build
      - run: python -m build
      - uses: pypa/gh-action-pypi-publish@release/v1
        # Tidak perlu password — OIDC menangani autentikasi

Respons PyPI terhadap Ancaman yang Meningkat

PyPI telah mengimplementasikan beberapa langkah keamanan baru sebagai respons terhadap serangan yang meningkat:

• Domain Resurrection Prevention — Mencegah penyerang mendaftarkan ulang paket yang sebelumnya dihapus untuk menyebarkan malware.
• Login Verification untuk TOTP — Memverifikasi bahwa TOTP berasal dari perangkat yang benar, bukan dari serangan phishing.
• Invalidasi Token Massal — Kemampuan untuk membatalkan semua token API yang beredar jika terjadi kompromi.
• Attestations Otomatis — Setiap paket yang diterbitkan melalui Trusted Publishing mendapatkan attestations kriptografi via Sigstore.

Implementasi Trusted Publishing juga relevan untuk pengembangan aplikasi modern. Baca lebih lanjut tentang praktik pengembangan terkini di tutorial Kotlin Multiplatform kami.

Membangun Pipeline Keamanan yang Robust

Pertahanan yang efektif memerlukan integrasi keamanan ke setiap tahap pipeline pengembangan. Berikut adalah rekomendasi untuk membangun pipeline keamanan yang robust.

Pre-Commit Hooks

Konfigurasi pre-commit hooks untuk mendeteksi masalah keamanan sebelum kode mencapai repository.

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/astral-sh/ruff-pre-commit
    rev: v0.8.0
    hooks:
      - id: ruff
        args: [--select, S]

  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

  - repo: https://github.com/Yelp/detect-secrets
    rev: v1.5.0
    hooks:
      - id: detect-secrets
        args: [--baseline, .secrets.baseline]

CI/CD Security Gates

Tambahkan gerbang keamanan dalam pipeline CI/CD yang memblokir deployment jika ditemukan masalah kritis.

# Contoh GitHub Actions workflow dengan security gates
name: Security Check
on: [push, pull_request]

jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Python Security Scan
        run: |
          pip install pip-audit safety
          pip-audit --strict
          safety check --full-report

      - name: Node.js Security Scan
        run: |
          npm audit --audit-level=critical
          npx socket-security-cli scan

      - name: Generate SBOM
        run: |
          pip install cyclonedx-bom
          cyclonedx-py -o sbom.json --format json

      - name: Upload SBOM Artifact
        uses: actions/upload-artifact@v4
        with:
          name: sbom
          path: sbom.json

Monitoring dan Alerting

Implementasikan monitoring berkelanjutan untuk mendeteksi perubahan mencurigakan pada dependensi yang sudah digunakan:

• Gunakan GitHub Dependabot atau Renovate untuk mendapatkan notifikasi saat ada update keamanan
• Konfigurasi Socket.dev atau Snyk untuk monitoring real-time terhadap perilaku berbahaya
• Pantau advisories dari npm Security dan PyPI Security secara berkala
• Berlangganan mailing list security seperti OSS-Security untuk CVE baru

Pipeline keamanan yang baik juga mempertimbangkan aspek performa dan skalabilitas. Prinsip serupa diterapkan dalam pengembangan aplikasi cross-platform — baca lebih lanjut di panduan Kotlin Multiplatform.

Langkah Praktis yang Bisa Dilakukan Hari Ini

Menerapkan seluruh strategi pertahanan di atas mungkin terasa overwhelming. Berikut adalah checklist prioritas yang dapat Anda mulai hari ini untuk meningkatkan keamanan supply chain secara signifikan.

Prioritas Tinggi (Minggu Ini)

• Jalankan npm audit dan pip-audit pada semua proyek aktif
• Periksa apakah ada dependensi yang menggunakan versi TanStack yang terinfeksi Shai-Hulud
• Aktifkan ignore-scripts=true di .npmrc untuk mencegah eksekusi script postinstall berbahaya
• Gunakan npm ci di semua pipeline CI/CD
• Pastikan file package-lock.json dan uv.lock di-commit ke repository

Prioritas Sedang (Bulan Ini)

• Konfigurasi Trusted Publishing di PyPI untuk semua paket yang Anda terbitkan
• Tambahkan pre-commit hooks untuk security linting
• Generate dan review SBOM untuk proyek-proyek utama
• Konfigurasi Dependabot atau Renovate untuk notifikasi update keamanan
• Implementasikan scoped packages untuk paket internal

Prioritas Rendah (Kuartal Ini)

• Evaluasi dan implementasikan Socket.dev atau Snyk untuk monitoring berkelanjutan
• Buat kebijakan organisasi untuk review dependensi baru
• Lakukan audit menyeluruh terhadap semua transitive dependencies
• Konfigurasi SBOM generation otomatis di CI/CD

Pertanyaan yang Sering Diajukan (FAQ)

Sumber Referensi