GitHub, npm 보안 대수술 로컬 배포 2단계 인증 의무화 예고

요약

GitHub가 npm 생태계 보안을 대폭 강화합니다.
로컬 배포에 2단계 인증을 의무화하고, 토큰 사용기한을
단축해 공급망 공격 노출을 줄입니다.

본문

핵심 변경점
1) 로컬 배포 2단계 인증 의무화(권장: 보안키 기반 FIDO)
2) 퍼블리시 권한 기본 제한·그라뉼러 토큰 수명 7일로 단축
3) Trusted Publishing·보호된 워크플로로 전환 유도

현장 적용 체크리스트
1) 조직·개인 배포 플로우 2FA 전환, 토큰 재발급 일정 수립
2) CI에서 Trusted Publishing 테스트·롤백 경로 마련
3) 의존성 검증: 신규 패키지 IOCs·서명 검증 자동화

한줄평

속도가 아닌 신뢰의 문제, 배포 체인을 ‘기본 안전’으로.

출처

TechRadar Pro: npm 보안 강화 세부안
DevOps.com: 샤이훌루드 사태 이후 조치 정리
VS Code 이터레이션 플랜: 오늘(9/29) 엔드게임 시작